Lychee: Manipulation des Zahlungsbetrags im Webshop-Checkout

Zusammenfassung

Lychee ist ein selbst gehostetes Tool zur Fotoverwaltung mit optionalem Webshop für Supporter- und Pro-Benutzer. In betroffenen Versionen kann ein nicht angemeldeter Käufer im Checkout-Request zusätzliche Daten senden, die serverseitig berechnete Zahlungsparameter wie amount, currency, returnUrl, cancelUrl oder transactionId überschreiben. Wird ein betroffenes Omnipay-Gateway ausserhalb von PayPal verwendet, kann der Angreifer eine kleinere Summe bezahlen und trotzdem automatisch ausgelieferte Ware erhalten. Voraussetzung sind ein aktivierter Webshop, ein kaufbarer Artikel und ein betroffenes Gateway.

Betroffen

• Lychee-Versionen vor 7.7.1 mit aktiviertem Webshop
• Genauer betroffener Versionsbereich: Quellen widersprechen sich; bis die Herstellerwarnung den Bereich bestätigt, sind alle Versionen unter 7.7.1 als betroffen zu behandeln
• Betroffene Omnipay-Gateways: Unbekannt (die Beschreibung nennt nur Gateways ausserhalb von PayPal)

Behoben in

• Lychee 7.7.1 (Commit 24e6e11)

Umgehung

• Kein Workaround des Herstellers bekannt.
• Den Webshop bis zur Installation von 7.7.1 zu deaktivieren, entfernt den Angriffsweg (Ableitung aus den Voraussetzungen, keine Empfehlung des Herstellers).

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation poc, nicht automatisierbar.
• EPSS 0.00451 (niedrig).

Unsere Empfehlung

• Lychee so bald wie möglich auf Version 7.7.1 oder neuer aktualisieren.
• Falls ein sofortiges Update nicht möglich ist, den Webshop deaktivieren.
• Prüfen, ob Lychee-Instanzen aus dem Internet erreichbar sind und ob der Webshop aktiviert ist.
• Webshop-Bestellungen auf Beträge prüfen, die nicht den Artikelpreisen entsprechen, sowie auf ungewöhnliche Transaktionen im Zahlungsgateway.
• Der Fix war vor der Veröffentlichung der CVE öffentlich; ältere Instanzen deshalb jetzt prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-476v-jr53-8rxc github.com
• Fix commit 24e6e11 github.com
• Pull Request #4514 github.com
• Lychee release v7.7.1 github.com
• GitHub Security overview Lychee github.com
• OpenCVE CVE-2026-77470 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:42.