Core Lightning: плагин currencyrate доверяет скомпрометированным сертификатам, возможен MITM по HTTPS (RUSTSEC-2026-0381)
Проект Core Lightning в своём канале сообщает, что старые версии зависимости webpki-roots продолжают доверять скомпрометированным промежуточным сертификатам emSign, из-за чего HTTPS-запросы могут быть подвержены MITM. Сам код CLN и протокол Lightning не затронуты: проблема ограничена плагином currencyrate, который включён по умолчанию. Риск возникает при использовании команд этого плагина и при настройке пересчёта валюты для плагина bookkeeper. Плагин BIP353 на практике не затронут, поскольку опирается на DNS и игнорирует уязвимый путь проверки сертификата.
Если функциональность currencyrate вам не нужна, отключите плагин сейчас, добавив в конфигурацию CLN строку disable-plugin=cln-currencyrate. Исправление пока не выпущено: оно ждёт обновления зависимости и следующего релиза CLN, поэтому до него полагайтесь на отключение плагина, а не на обновление.
Источник: x.com - Core_LN
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.