CVE-2026-77470 in Lychee
Сводка
по VulDB • 15.10.2026
Lychee — это бесплатный инструмент с открытым исходным кодом для управления фотографиями. До версии 7.7.1 поток POST /api/v2/Shop/Checkout/Process в модулях Supporter или Pro webshop принимает массив additional_data без ограничений, а метод CheckoutService::preparePurchaseParameters() объединяет его после вычисления сервером параметров покупки. Поскольку строковые ключи с более поздними индексами перезаписывают ранее указанные ключи, неаутентифицированный покупатель может заменить значения полей amount (сумма), currency (валюта), returnUrl (URL возврата), cancelUrl (URL отмены) или transactionId (идентификатор транзакции) до того, как CheckoutService::processPayment() передаст параметры в шлюз Omnipay, не являющийся PayPal. Таким образом, злоумышленник может заставить шлюз принять успешную оплату на сумму, выбранную атакующим, и получить товары с автоматическим выполнением заказа при недоплате продавцу. Для реализации уязвимости требуется включенный веб-магазин, товар, доступный для покупки, и затронутый шлюз Omnipay. Проблема исправлена в версии 7.7.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.