BTCPay Server 2.4.5 ปิดกั้นคำขอไปยังเครือข่ายส่วนตัว เพิ่มความเข้มงวดการอนุมัติคืนเงิน

BTCPay Server 2.4.5 ปิดกั้นคำขอไปยังเครือข่ายส่วนตัวเป็นค่าเริ่มต้น และเพิ่มข้อกำหนดการอนุมัติคืนเงินส่วนที่ชำระเกินใบแจ้งหนี้ พร้อมปรับลดการตรวจสอบที่ไม่จำเป็นระหว่างสร้างใบแจ้งหนี้

โครงการ BTCPay Server เปิดตัวเวอร์ชัน 2.4.5 โดยบันทึกการออกรุ่นระบุว่า การเชื่อมต่อ Lightning คำขอ LNURL ที่อยู่แจ้งเตือนใบแจ้งหนี้ และเว็บฮุก จะไม่สามารถส่งคำขอไปยังเครือข่ายส่วนตัวได้ด้วยการตั้งค่าเริ่มต้น การปลอมแปลงคำขอจากเซิร์ฟเวอร์ (SSRF) คือวิธีที่ผู้โจมตีหลอกให้เซิร์ฟเวอร์เข้าถึงทรัพยากรในเครือข่ายภายใน

ผู้ดูแลที่เชื่อมต่อบริการส่วนตัวต้องกำหนดที่อยู่ที่จำเป็นในรายการอนุญาต ssrfexceptions การปิดกั้นโดยค่าเริ่มต้นช่วยลดช่องทางที่คำขอจากภายนอกจะเข้าถึงบริการภายใน แต่ระบบเชื่อมต่อที่ใช้อยู่เดิมอาจต้องตั้งค่ารายการที่อนุญาตใหม่

ขั้นตอนอนุมัติคืนเงินก็มีการเปลี่ยนแปลงเช่นกัน พนักงานที่ไม่มีสิทธิ์สร้างพูลเพย์เมนต์ที่อนุมัติแล้ว จะไม่สามารถอนุมัติคืนเงินส่วนที่ชำระเกินใบแจ้งหนี้โดยอัตโนมัติได้ และต้องได้รับการอนุมัติจากผู้ใช้อื่น

ข้อมูลการชำระเงิน สถานะ และใบเสร็จบนหน้าใบแจ้งหนี้สาธารณะจะถูกซ่อนหลังสิ้นสุดการติดตามครบหนึ่งเดือน ผู้ใช้ที่มีสิทธิ์ดูใบแจ้งหนี้ยังคงเข้าถึงข้อมูลได้หลังจากนั้น

กระบวนการสร้างใบแจ้งหนี้ลดการตรวจสอบโหนด Lightning และค่าธรรมเนียมบนเชนที่ไม่จำเป็น บันทึกการออกรุ่นระบุว่าความเร็วในการสร้างดีขึ้นอย่างเห็นได้ชัด แต่ไม่ได้ระบุเวลาที่ลดลงเป็นตัวเลข

ผู้ดูแลที่ใช้ Tor ในการติดตั้งผ่าน Docker ควรตรวจสอบการตั้งค่าการเชื่อมต่อ การเปลี่ยนแปลงครั้งนี้ทำให้ Tor กลายเป็นฟังก์ชันเสริม หากเดิมให้บริการผ่านที่อยู่ .onion ต้องเปิดใช้งานการตั้งค่าอีกครั้งเพื่อให้เชื่อมต่อได้ต่อเนื่อง

เวอร์ชันนี้ยังแก้ข้อผิดพลาดในการสร้างใบแจ้งหนี้ที่เกิดจากการใช้ปลายทางการชำระเงินซ้ำและปัญหาขอบเขตการค้นหา พร้อมป้องกันคำขอปลอมเมื่อเปลี่ยนสถานะการชำระเงินผ่านเบราว์เซอร์ URL แจ้งเตือนใบแจ้งหนี้เริ่มเข้าสู่กระบวนการยกเลิก โดยมีแนวทางให้ใช้เว็บฮุกแทน ผู้ดูแลที่เชื่อมต่อปลั๊กอินหรือ API ที่พัฒนาขึ้นเองควรตรวจสอบสิทธิ์และการทำงานที่เปลี่ยนไป

BTCPay Server เป็นซอฟต์แวร์โอเพนซอร์สที่ช่วยให้ธุรกิจประมวลผลการชำระเงินด้วยบิตคอยน์(BTC) บนเซิร์ฟเวอร์ของตนเอง ก่อนหน้านี้มีรายงานว่าช่องโหว่ใน BTCPay Server ถูกนำไปใช้โจมตีจริงและทำให้เงินของผู้ใช้ถูกขโมย เวอร์ชัน 2.4.5 นี้มีการป้องกัน SSRF และการเปลี่ยนแปลงด้านสิทธิ์กับการจัดการใบแจ้งหนี้