Lychee до 7.7.0: обход оплаты в веб-магазине через выбор тестового шлюза Dummy (CVE-2026-77466)
В Lychee — открытом инструменте для управления фотографиями — обнаружена уязвимость высокого риска (CVSS 8.3), позволяющая обойти оплату в веб-магазине. Покупатель, включая гостя, может выбрать тестовый платёжный шлюз Dummy и завершить оформление заказа без реальной оплаты. Уязвимость затрагивает версии до 7.7.0 и требует наличия модуля Supporter или Pro с активным товаром.
Подробности
Уязвимость затрагивает LycheeOrg Lychee в версиях до 7.7.0. В production-режиме Lychee скрывает тестовый платёжный провайдер Omnipay Dummy из списка доступных вариантов оформления заказа — это реализовано через метод OmnipayFactory::get_supported_providers(). Однако обработчик CreateSessionRequest проверяет лишь то, что переданный провайдер относится к типу OmnipayProviderType, и не вызывает OmnipayProviderType::isAllowed(). В результате покупатель может напрямую отправить значение Dummy и пройти весь тестовый платёжный сценарий, не совершая реальной оплаты. Если в системе включён параметр webshop_auto_fulfill_enabled, то OrderCompletedListener::fullfillOrder() может автоматически выдать приобретаемый товар. Таким образом, злоумышленник получает платный контент или лицензию без фактической оплаты. Атака доступна как авторизованным пользователям, так и гостям — при условии, что включена опция webshop_allow_guest_checkout. Стоит отметить, что в ходе тестирования исследователям удалось обойти middleware закрытой лицензионной прослойки. Проверяет ли реальный лицензионный слой дополнительные ограничения на платёжных провайдеров, остаётся неподтверждённым. При этом проверка финального статуса платежа сама по себе не является первопричиной проблемы — корень уязвимости в недостаточной валидации выбранного провайдера на этапе создания сессии. Описанные условия — доступ к магазину Supporter или Pro и наличие включённого приобретаемого товара — ограничивают круг потенциально уязвимых инсталляций, однако при их выполнении эксплуатация не требует сложных манипуляций.Что делать
Единственный надёжный способ устранения уязвимости — обновить Lychee до версии 7.7.0 или выше, где проблема исправлена. Администраторам следует как можно скорее проверить текущую версию продукта и запланировать апдейт. Если немедленное обновление невозможно, рекомендуется временно отключить веб-магазин либо, как минимум, запретить гостевое оформление заказов (webshop_allow_guest_checkout) и отключить автоматическую выдачу товаров (webshop_auto_fulfill_enabled). Эти меры не устраняют саму уязвимость, но снижают риск несанкционированного получения платного контента. Также целесообразно проверить журналы заказов на предмет подозрительных операций, завершённых через тестовый шлюз Dummy. Итог: CVE-2026-77466 — серьёзная уязвимость обхода оплаты в Lychee с высоким показателем CVSS. Основная рекомендация — обновление до 7.7.0; до этого момента используйте компенсирующие меры и усиленный мониторинг транзакций.Источник: CVE Project (cvelistV5)