L’équipe de BTCPay Server (processeur de paiement Bitcoin gratuit et open source) a annoncé aujourd’hui la sortie de la version 2.4.4, une mise à jour qui poursuit le renforcement de la sécurité de la plateforme. Cette nouvelle version apporte plusieurs changements incompatibles avec certaines configurations existantes, notamment la désactivation par défaut des paiements NFC et des factures d’un montant nul, ainsi que l’obligation pour tout nouvel utilisateur d’accepter formellement son invitation (via le lien reçu par e-mail) avant de pouvoir accéder aux fonctionnalités de la boutique. Le fonctionnement du plugin WHMCS et du système de notification du point de vente est également modifié.
Le déploiement Docker standard bénéficie par ailleurs de plusieurs évolutions. Bitcoin Core passe de la version 29.2 à la version 31.1 et LND à la version 0.21.3-beta, tandis que le support de Bitcoin Knots est supprimé. L’accès du conteneur au système hôte est désormais limité à un nombre restreint de commandes d’administration. Concernant LND, chaque nouveau portefeuille reçoit un mot de passe aléatoire qui lui est propre et les routes non authentifiées permettant la création et le déverrouillage des portefeuilles sont bloquées au niveau du proxy inverse. Ces mesures visent notamment à prévenir les attaques observées sur des serveurs ayant réactivé manuellement l’accès externe à l’API LND.
L’équipe indique également que son serveur Plugin Builder a été compromis le 2 septembre. L’incident concerne uniquement les développeurs utilisant cette infrastructure et n’affecte pas les utilisateurs de BTCPay Server ni les plugins publiés. Aucun plugin publié n’a été remplacé par une version malveillante et tous les jetons d’accès ont été renouvelés. Les adresses e-mail enregistrées sont toutefois susceptibles d’avoir été exposées. Face à ces nombreux correctifs et renforcements de sécurité, l’équipe recommande à tous les administrateurs de mettre à jour leur serveur.
Source : https://x.com/BtcpayServer/status/2097295933805572212
