Lychee: Zahlungsumgehung im Webshop durch frei wählbares Dummy-Gateway
Zusammenfassung
Lychee, ein Open-Source-Werkzeug zur Fotoverwaltung, verfügt über einen Webshop. Der Testzahlungsanbieter "Dummy" wird im Checkout im Produktivbetrieb ausgeblendet, der Server erzwingt diese Einschränkung beim Erstellen einer Sitzung jedoch nicht. Ein Käufer kann Dummy direkt auswählen und den Testablauf ohne echte Zahlung abschliessen. Ist die automatische Auslieferung aktiviert, kann der gekaufte Artikel freigegeben werden. Der Angriff erfordert Zugriff auf den Supporter- oder Pro-Webshop und einen aktivierten kaufbaren Artikel; für Gäste ist er möglich, wenn der Gastkauf aktiviert ist.
Betroffen
- Lychee-Versionen vor 7.7.0 (CNA-Eintrag: betroffen < 7.7.0)
- Früheste betroffene Version: Unbekannt (eine Drittanbieter-Datenbank nennt 7.6.0 als Beginn des Bereichs)
- Nur Installationen mit aktiviertem Webshop sind relevant
Behoben in
- Lychee 7.7.0 (Herstellerhinweis GHSA-5wh2-hg7q-6hv3)
- Eine separate Webshop-CVE (CVE-2026-77470) ist in 7.7.1 behoben; die neueste Version installieren
Umgehung
- Kein Workaround vom Hersteller veröffentlicht.
- Übergangsmassnahme (eigene Einschätzung, nicht vom Hersteller bestätigt): Webshop deaktivieren oder mindestens Gastkauf und automatische Auslieferung, bis das Update installiert ist.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung "poc" (Proof of Concept vorhanden), automatisierbar: nein, technische Auswirkung: teilweise.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Aufnahme im CISA-KEV-Katalog nicht bestätigt.
- Ob die proprietäre Lizenzschicht zusätzliche Zahlungsprüfungen durchführt, ist nicht verifiziert.
Unsere Empfehlung
- Prüfen, ob der Lychee-Webshop auf Ihren Instanzen aktiviert ist.
- Auf Lychee 7.7.1 oder neuer aktualisieren (mindestens 7.7.0).
- Bis zur Behebung Gastkauf und automatische Auslieferung deaktivieren oder den Shop abschalten.
- Kürzlich eingegangene Bestellungen prüfen, die als bezahlt markiert sind, aber keiner echten Zahlung entsprechen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5wh2-hg7q-6hv3 github.com
- Lychee release v7.7.0 github.com
- Fix commit 8b73656 (Lychee) github.com
- Pull request #4507 (Lychee) github.com
- OSV entry CVE-2026-77466 osv.dev
- Mend record CVE-2026-77466 (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:41.
Referenzen der NVD (5)
- https://github.com/LycheeOrg/Lychee/commit/8b73656f920c682862b9199acc87fbaf72ee5a90
- https://github.com/LycheeOrg/Lychee/pull/4507
- https://github.com/LycheeOrg/Lychee/releases/tag/v7.7.0
- https://github.com/LycheeOrg/Lychee/security/advisories/GHSA-5wh2-hg7q-6hv3
- https://github.com/LycheeOrg/Lychee/security/advisories/GHSA-5wh2-hg7q-6hv3
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.