CVE-2026-77466

Nome do Software Vulnerável e Versões Afetadas Lychee versões anteriores a 7.7.0

Description Existe um problema onde a aplicação falha em impor restrições de provedor durante o processo de checkout. Embora a função OmnipayFactory::get supported providers() oculte o provedor de teste Omnipay Dummy em produção, o CreateSessionRequest valida apenas que o provedor enviado seja um OmnipayProviderType sem verificar OmnipayProviderType::isAllowed(). Isso permite que um comprador, incluindo convidados se webshop allow guest checkout estiver habilitado, envie manualmente o provedor Dummy para completar um fluxo de gateway de teste sem realizar um pagamento real. Se webshop auto fulfill enabled estiver ativo, a função OrderCompletedListener::fullfillOrder() pode então liberar o item comprável. Isso requer acesso à loja Supporter ou Pro e um item comprável habilitado.

Recommendations Atualizar para a versão 7.7.0.