BTCPay Server 2.4.5, özel ağ isteklerini engelledi ve iade onayını güçlendirdi

BTCPay Server 2.4.5, özel ağlara yönelik istekleri varsayılan olarak engellerken fatura fazla ödemelerinin iadesinde onay yetkisini güçlendirdi. Fatura oluşturma sırasında gereksiz sorguları azaltan iyileştirmeler de sürüme eklendi.

BTCPay Server projesi 2.4.5 sürümünü yayımladı. Sürüm notlarına göre Lightning bağlantıları, LNURL istekleri, fatura bildirim adresleri ve webhook’lar varsayılan ayarlarda özel ağlara istek gönderemeyecek. Sunucu tarafı istek sahteciliği (SSRF), saldırganların sunucu üzerinden iç ağ kaynaklarına erişmeye çalıştığı bir yöntem.

Özel hizmetleri sisteme bağlayan operatörlerin, izin listesi ayarı olan ssrfexceptions bölümünde gerekli adresleri tanımlaması gerekiyor. Varsayılan engelleme, dış isteklerin iç hizmetlere ulaşabileceği yolları azaltırken mevcut entegrasyonlarda izin verilen hedeflerin yeniden ayarlanmasını gerektirebilir.

İade onay sürecinde de değişiklik yapıldı. Onaylı tam ödemeler oluşturma yetkisi olmayan çalışanlar, fatura tutarını aşan ödemelerin iadesini artık otomatik olarak onaylayamayacak; başka bir kullanıcının onayı gerekecek.

Herkese açık fatura sayfalarındaki ödeme, durum ve makbuz bilgileri, izleme sona erdikten bir ay sonra gizlenecek. Faturaları görüntüleme yetkisi bulunan kullanıcılar bu bilgilere erişmeye devam edebilecek.

Fatura oluşturma sürecinde Lightning düğümü ve zincir üstü ücretler için gereksiz sorgular azaltıldı. Sürüm notları, oluşturma hızının ‘belirgin biçimde’ arttığını belirtti ancak zaman kazancına ilişkin ölçü paylaşmadı.

Docker dağıtımında Tor kullanan operatörlerin bağlantı ayarlarını gözden geçirmesi gerekiyor. Bu sürümde Tor isteğe bağlı hale geldi. Daha önce hizmetini .onion adresi üzerinden sunanların erişimi sürdürmek için bu özelliği yeniden etkinleştirmesi gerekiyor.

Yeni sürüm, ödeme hedefinin yeniden kullanılması nedeniyle fatura oluşturulurken yaşanan hataları ve arama kapsamındaki sorunları giderdi. Tarayıcıdan ödeme durumu değiştirilirken sahte istekleri önleyen bir koruma da eklendi. Fatura bildirim URL’leri webhook’larla değiştirilecek şekilde kullanımdan kaldırılma sürecine girdi. Kendi eklentilerini veya API entegrasyonlarını kullanan operatörlerin değişen izinleri ve işleyişi incelemesi gerekiyor.

BTCPay Server, işletmelerin Bitcoin(BTC) ödemelerini kendi sunucularında işlemesini sağlayan açık kaynaklı bir yazılım. Daha önce BTCPay Server’daki bir güvenlik açığının gerçek saldırılarda kullanıldığı ve kullanıcıların fonlarının çalındığı bildirilmişti. 2.4.5 sürümü SSRF koruması ile yetki ve fatura işleme değişiklikleri içeriyor.