CVE-2026-77466 in Lychee
Tóm tắt
Bởi VulDB • 15/10/2026
Lychee là một công cụ quản lý ảnh miễn phí và mã nguồn mở. Trước phiên bản 7.7.0, Lychee ẩn nhà cung cấp kiểm tra Dummy của Omnipay khỏi các tùy chọn thanh toán trong môi trường sản xuất thông qua hàm `OmnipayFactory::get_supported_providers()`, tuy nhiên `CreateSessionRequest` chỉ xác thực rằng nhà cung cấp được gửi đi là một `OmnipayProviderType` mà không áp dụng quy tắc `OmnipayProviderType::isAllowed()`. Một người mua, bao gồm cả khách vãng lai khi tính năng `webshop_allow_guest_checkout` được bật, có thể trực tiếp gửi yêu cầu Dummy và hoàn tất luồng cổng thanh toán thử nghiệm (test gateway flow) mà không cần thực hiện giao dịch thanh toán thật. Khi tính năng `webshop_auto_fulfill_enabled` được kích hoạt, hàm `OrderCompletedListener::fullfillOrder()` sau đó có thể giải phóng mặt hàng có thể mua. Vấn đề này yêu cầu quyền truy cập vào cửa hàng trực tuyến loại Supporter hoặc Pro và một mặt hàng có thể mua đang được bật. Việc kiểm thử đã bỏ qua lớp trung gian giấy phép mã nguồn đóng, do đó việc liệu lớp cấp giấy phép thực tế có thực hiện xác minh bổ sung đối với nhà cung cấp thanh toán hay không vẫn chưa được xác nhận. Bản thân việc kiểm tra trạng thái hoàn tất thanh toán không phải là nguyên nhân gốc rễ của vấn đề này. Vấn đề đã được sửa chữa trong phiên bản 7.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.