CVE-2026-77470

Nome do Software Vulnerável e Versões Afetadas Lychee versões anteriores a 7.7.1

Description O fluxo da loja web Supporter ou Pro no endpoint POST '/api/v2/Shop/Checkout/Process' aceita um array additional data irrestrito. A função CheckoutService::preparePurchaseParameters() mescla este array após os parâmetros de compra computados pelo servidor, permitindo que chaves de string posteriores sobrescrevam as anteriores. Um comprador não autenticado pode substituir as variáveis amount, currency, returnUrl, cancelUrl ou transactionId antes que CheckoutService::processPayment() as envie para um gateway Omnipay que não seja o PayPal. Isso permite que um invasor manipule o valor do pagamento e obtenha produtos auto-entregues pagando menos ao comerciante. Este problema requer uma loja web habilitada, um item comprável e um gateway Omnipay afetado.

Recommendations Atualizar para a versão 7.7.1.