CVE-2026-77470

اسم البرنامج المصاب والإصدارات المتأثرة Lychee الإصدارات السابقة لـ 7.7.1

Description يقبل تدفق متجر الويب Supporter أو Pro في نقطة النهاية POST '/api/v2/Shop/Checkout/Process' مصفوفة additional data غير مقيدة. تقوم الدالة CheckoutService::preparePurchaseParameters() بدمج هذه المصفوفة بعد معاملات الشراء التي يتم حسابها بواسطة الخادم، مما يسمح لمفاتيح السلسلة اللاحقة بتجاوز المفاتيح السابقة. يمكن للمشتري غير المصرح له استبدال متغيرات amount أو currency أو returnUrl أو cancelUrl أو transactionId قبل أن تقوم CheckoutService::processPayment() بتمريرها إلى بوابة Omnipay غير تابعة لـ PayPal. يتيح ذلك للمهاجم التلاعب بمبلغ الدفع والحصول على سلع يتم تنفيذها تلقائيًا مع دفع مبلغ أقل للتاجر. يتطلب هذا الخلل وجود متجر ويب مفعل، وعنصر قابل للشراء، وبوابة Omnipay متأثرة.

Recommendations التحديث إلى الإصدار 7.7.1.