BTCPay Server 2.4.6: исправления безопасности в правах API-ключей, редиректах, подписках и обработке недоверенного ввода
Релиз закрывает ряд security-дефектов, раскрытых исследователями по ответственной процедуре: ограниченные API-ключи теперь не выходят за пределы выданных прав на магазин и пользователя, даже если владелец ключа — администратор сервера; в авторизации ключей и в инвойс-запросах Greenfield и BitPay-совместимого API принимаются только абсолютные HTTP/HTTPS-редиректы; новые подписки больше не могут получить контроль над существующими аккаунтами; усилена санитизация кастомного HTML/CSS и обработка недоверенного ввода в API, кошельке, формах, вебхуках и Payjoin-запросах; выход из аккаунта требует защищённого POST. Также обновлены .NET и доверенное хранилище сертификатов контейнера Ubuntu — для уязвимости декодера Brotli (CVE-2026-111497) и отзыва доверия к сертификатам, затронутым компрометацией ключа CA eMudhra. Ломающее изменение: убрана устаревшая опция notificationEmail на уровне инвойса.
Если вы держите собственный инстанс BTCPay Server без этих исправлений — обновитесь до 2.4.6 в ближайшее время. Перед обновлением учтите ломающее изменение: опции notificationEmail у инвойса больше нет, уведомления нужно перенести на email-правила магазина. После обновления проверьте ограниченные API-ключи и настроенные редиректы — их область прав теперь применяется строго. Тем, кто уже на 2.4.6, действий не требуется.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.