Апдейт инцидента: RoboSats v0.8.7-alpha исправляет XSS у клиентов; патч второй проблемы с выплатой наград не подтверждён
RoboSats v0.8.8-alpha: исправлен XSS в логах ордеров, добавлены проверки выплат у координаторов, старый Android-клиент больше не подключается
Релиз закрывает XSS (данные, контролируемые пользователем, экранируются, логи ордеров хранятся как JSON), добавляет координаторам проверку источников наград и выплат покупателю по данным Lightning-ноды с необязательным лимитом выводов, чинит повторное зачисление залога по одному slashed bond и поднимает Django и Pillow. В списке изменений названы исправления двух GHSA, но для одного из них фикс затем помечен как откат. Встроенный в Android-приложение Tor обновлён: по словам релиза, прежняя версия Tor больше не может подняться в сеть.
Пользователям RoboSats (веб, Android, десктоп): обновитесь на v0.8.8-alpha и проверьте GPG-подпись сборки по инструкции в релизе; на Android обновление требуется и для работоспособности — прежний встроенный Tor в сеть не выходит. Координаторам: обновите backend на v0.8.8-alpha (проверки выплат по данным LND, обновлённые Django и Pillow) и при необходимости задайте переменную WITHDRAWAL_LIMIT, чтобы ограничить вывод наград; onion-адреса координаторов указаны на странице доступа как резервный путь. Тем, кто уже на v0.8.8-alpha, действий не требуется.
Источник: github.com
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.
Ход инцидента
- 12.09RoboSats v0.8.7-alpha исправляет XSS у клиентов; патч второй проблемы с выплатой наград не подтверждён
- 31.10RoboSats v0.8.8-alpha: исправлен XSS в логах ордеров, добавлены проверки выплат у координаторов, старый Android-клиент больше не подключается