BTCPay Server 2.4.7: bug-fix релиз с 85 исправленными security-находками, обновление особенно рекомендуют общим серверам

Вендор выпустил 2.4.7 и описывает его как bug-fix релиз, закрывающий проблемы безопасности, надёжности и учёта платежей; по отчёту сканирования исправлено 85 находок (1 Critical, 13 High, 52 Medium, 19 Low), детали Critical и High намеренно не раскрыты. Среди названных исправлений: отменённые payout больше нельзя переоткрыть в обход лимитов pull payment; политика подтверждений и лимиты истечения применяются к анонимно созданным инвойсам BitPay API, чтение отдельного инвойса требует аутентификации, а переданные токены сверяются с аутентифицированной личностью; устранены случаи, когда формы, поиск, уведомления и Greenfield-листинги раскрывали данные или формы другого магазина; усилены лимиты попыток 2FA при параллельных входах; LNURL-auth challenge истекает через пять минут и аннулируется при смене учётных данных; проверяется принадлежность кэшированных адресов текущему кошельку после замены, удаления или настройки multisig. Вендор называет обновление настоятельно рекомендованным, особенно для серверов, которые делят несколько мерчантов. Также удалены legacy-маршруты /invoices/create — вместо них /stores/{storeId}/invoices/create.