CVE-2026-77470 El checkout de la tienda de Lychee permite al cliente sobrescribir el monto enviado a la pasarela de pago

Qué es CVE-2026-77470

En Lychee anterior a 7.7.1, el flujo POST /api/v2/Shop/Checkout/Process de la tienda Supporter o Pro acepta un array additional_data sin restricciones y CheckoutService::preparePurchaseParameters() lo fusiona después de los parámetros calculados por el servidor. Como las claves de cadena posteriores sobrescriben a las anteriores, un comprador no autenticado puede reemplazar amount, currency, returnUrl, cancelUrl o transactionId antes de que se pasen a una pasarela Omnipay que no sea PayPal, logrando un pago…

Productos y versiones afectadas

• LycheeOrg Lychee

  • < 7.7.1

Qué hacer

1. Verificá si usás Lychee y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.3 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Baja

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Lychee is a free, open-source photo-management tool. Prior to 7.7.1, the Supporter or Pro webshop POST /api/v2/Shop/Checkout/Process flow accepts an unrestricted additional_data array and CheckoutService::preparePurchaseParameters() merges it after server-computed purchase parameters. Because later string keys overwrite earlier keys, an unauthenticated buyer can replace amount, currency, returnUrl, cancelUrl, or transactionId before CheckoutService::processPayment() passes the parameters to a non-PayPal Omnipay gateway. An attacker can therefore make a gateway accept a successful payment for an attacker-selected amount and obtain auto-fulfilled goods while underpaying the merchant. The issue requires an enabled webshop, a purchasable item, and an affected Omnipay gateway. This issue is fixed in version 7.7.1.

Referencias

• github.com/LycheeOrg/Lychee/security/advisories/GHSA-476v-jr53-8rxcX_REFSOURCE_CONFIRM
• github.com/LycheeOrg/Lychee/pull/4514X_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/commit/24e6e11f1da131ed20b192d7d7b7ca9084451a2fX_REFSOURCE_MISC
• github.com/LycheeOrg/Lychee/releases/tag/v7.7.1X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 15:48VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.