- Yama var
- Son 7 gün
- CWE-522
- CWE-552
CVE-2026-119757
BTCPay Server LND macaroon kimlik bilgisi dosyalarının yetkisiz ifşası
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, Bitcoin ödemelerini yöneten bir sistemde doğrudan para kaybına yol açabilir ve saldırıya herkes uzaktan başlayabilir. Etkilenen kurumların bu güncellemeyi öncelikli olarak uygulaması gerekmektedir.
ÖzetTürkçe
BTCPay Server'ın 2.4.2 sürümünden önceki sürümlerinde, 2.4.2 sürüm adaylarını da kapsayan bir bilgi ifşası açığı bulunmaktadır. Kimlik doğrulaması yapılmadan uzaktan erişen saldırganlar, bağlı bir LND (Lightning Network Daemon) düğümünün .macaroon kimlik bilgisi dosyalarını elde edebilmektedir. Etkilenen, kendi BTCPay Server örneğini barındıran işletmeler ve sunucu yöneticileridir.
Saldırgan ne yapabilir?
Saldırgan ele geçirdiği macaroon dosyasıyla LND düğümü üzerinde tam yetki kazanabilir ve bu yetkiyle fon transferi yaparak kurumun Lightning cüzdanındaki bakiyeyi çalabilir.
Kaynaktaki açıklama (İngilizce)
BTCPay Server before 2.4.2, including 2.4.2 release candidates, contains an information disclosure vulnerability that allows unauthenticated remote attackers to retrieve .macaroon credential files for an LND (Lightning Network Daemon) node. Attackers can use the exposed macaroon to gain full control of the LND node, including moving funds, resulting in theft of funds from affected deployments.
Ne yapmalı?
- BTCPay Server'ı 2.4.2 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncellemeden önce sunucunun dış ağa açık olan yönetim ve API arayüzlerine erişimi kısıtlayın; ağ erişimini yalnızca gerekli kaynaklarla sınırlayın. Genel öneri
- LND düğümü için kullanılan macaroon dosyalarının olası ifşasını varsayarak, LND tarafında ilgili kimlik bilgilerini yenilemeyi ve eski macaroon'ları geçersiz kılmayı değerlendirin. Genel öneri
Ek önlemler
- Macaroon dosyalarının izinlerini yalnızca servis hesabının okuyabileceği şekilde kısıtlayın ve bu dosyaları web kökü altında veya herkese açık dizinlerde tutmayın. Genel öneri
- LND düğümündeki fon hareketlerini ve beklenmeyen ödeme işlemlerini izleyin; olağandışı transfer tespit edilirse hemen düğümü durdurun. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| BTCPay Server | < 2.4.2 | 2.4.2 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.