RoboSats v0.8.7-alpha исправляет XSS у клиентов; патч второй проблемы с выплатой наград не подтверждён
RoboSats v0.8.7-alpha исправляет XSS в окне информации о координаторе: сообщение координатора теперь выводится как текст, а не HTML, поэтому этот путь закрыт для веб-, Android- и десктоп-клиентов. Однако исправление второй проблемы из advisory не подтверждено: при таймауте выплаты награды сумма может вернуться роботу, хотя первый Lightning-платёж ещё способен пройти, и награду можно получить дважды. Она затрагивает операторов координаторов. Обе проблемы в advisory оценены как средние; об эксплуатации не сообщается.
Пользователям RoboSats: обновитесь до v0.8.7-alpha из официального релиза — это закрывает XSS через окно информации о координаторе. Операторам координаторов: до отдельного подтверждения исправления не считайте проблему с повторной выплатой наград закрытой; приостановите вывод наград либо увеличьте таймаут и вручную сверяйте платежи, которые ещё могут быть в пути, перед повторной выплатой.
Источники:
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.