CVE-2026-77466 Omisión de pago en la tienda de Lychee mediante la selección no restringida de la pasarela "Dummy"

Qué es CVE-2026-77466

En Lychee anterior a 7.7.0, la tienda oculta el proveedor de prueba Omnipay Dummy en producción, pero CreateSessionRequest solo valida que el proveedor enviado sea un OmnipayProviderType y no aplica OmnipayProviderType::isAllowed(). Un comprador, incluso invitado si webshop_allow_guest_checkout está habilitado, puede enviar Dummy directamente y completar el flujo de la pasarela de prueba sin un pago real; con webshop_auto_fulfill_enabled habilitado, OrderCompletedListener::fullfillOrder() puede liberar el…

Productos y versiones afectadas

• LycheeOrg Lychee

  • < 7.7.0

Qué hacer

1. Verificá si usás Lychee y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.3 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Baja

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Lychee is a free, open-source photo-management tool. Prior to 7.7.0, Lychee hides the Omnipay Dummy test provider from the checkout options in production through OmnipayFactory::get_supported_providers(), but CreateSessionRequest validates only that the submitted provider is an OmnipayProviderType and does not enforce OmnipayProviderType::isAllowed(). A buyer, including a guest when webshop_allow_guest_checkout is enabled, can submit Dummy directly and complete the test gateway flow without a real payment. When webshop_auto_fulfill_enabled is enabled, OrderCompletedListener::fullfillOrder() can then release the purchasable item. The issue requires access to the Supporter or Pro webshop and an enabled purchasable item. Testing bypassed the closed-source license middleware, so whether the real license layer performs additional payment-provider validation remains unverified. The payment finalize status check itself is not the root cause. This issue is fixed in version 7.7.0.

Referencias

• github.com/LycheeOrg/Lychee/security/advisories/GHSA-5wh2-hg7q-6hv3X_REFSOURCE_CONFIRM
• github.com/LycheeOrg/Lychee/pull/4507X_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/commit/8b73656f920c682862b9199acc87fbaf72ee5a90X_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/releases/tag/v7.7.0X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 15:48VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.