PT-2026-115025 · Lychee · Lychee
CVE-2026-77466
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v4.0
8.3
عالية
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Lychee الإصدارات السابقة لـ 7.7.0
Description
توجد مشكلة حيث يفشل التطبيق في فرض قيود المزود أثناء عملية الدفع. بينما تقوم الدالة
OmnipayFactory::get supported providers() بإخفاء مزود اختبار Omnipay Dummy في بيئة الإنتاج، فإن CreateSessionRequest يتحقق فقط من أن المزود المرسل هو OmnipayProviderType دون التحقق من OmnipayProviderType::isAllowed(). يسمح هذا للمشتري، بما في ذلك الضيوف إذا تم تمكين webshop allow guest checkout ، بإرسال Dummy يدويًا لإكمال تدفق بوابة الاختبار دون إجراء دفع حقيقي. إذا تم تفعيل webshop auto fulfill enabled ، فقد تقوم الدالة OrderCompletedListener::fullfillOrder() بعد ذلك بإصدار العنصر القابل للشراء. يتطلب هذا الوصول إلى متجر Supporter أو Pro وعنصر قابل للشراء مفعل.Recommendations
التحديث إلى الإصدار 7.7.0.
استغلال
إصلاح
RCE
Incomplete List of Disallowed Inputs
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Lychee