CVE-2026-77470
Təsvir
Lychee pulsuz və açıq mənbəli foto-idarəetmə alətidir. Versiya 7.7.1-dək olan versiyalarda, Supporter və ya Pro veb mağazasının POST /api/v2/Shop/Checkout/Process axını məhdudiyyətsiz additional_data massivini qəbul edir və CheckoutService::preparePurchaseParameters() funksiyası onu server tərəfindən hesablanmış alış parametrlərindən sonra birləşdirir. Sonrakı sətir açarları əvvəlki açarları əvəz etdiyi üçün, autentifikasiya olunmamış alıcı, CheckoutService::processPayment() parametrleri PayPal olmayan Omnipay şlüzünə ötürməzdən əvvəl amount, currency, returnUrl, cancelUrl və ya transactionId dəyərlərini dəyişə bilər. Beləliklə, hücumçu şlüzün onun seçdiyi məbləğdə uğurlu ödənişi qəbul etməsini təmin edə və satıcıya az ödəniş etməklə avtomatik təmin edilən malları əldə edə bilər. Problemin yaranması üçün aktivləşdirilmiş veb mağaza, satın alına bilən məhsul və təsirlənmiş Omnipay şlüzü tələb olunur. Bu problem 7.7.1 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| LycheeOrg Lychee | < 7.7.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.