BTCPay Server
BTCPay Server: file .macaroon di un nodo LND leggibili senza autenticazione
Il problema, secondo i dati ufficiali
- Una falla di divulgazione di informazioni in BTCPay Server permette di scaricare i file di credenziali .macaroon di un nodo LND (Lightning Network Daemon).
- Può sfruttarla un attaccante remoto non autenticato, via rete e senza bisogno di un account.
- Con il macaroon esposto l'attaccante può ottenere il pieno controllo del nodo LND, compreso lo spostamento di fondi, e quindi rubare i fondi dalle installazioni colpite.
Cosa fare
- Aggiorna BTCPay Server alla versione 2.4.2 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- La falla espone credenziali: dopo l'aggiornamento cambia le credenziali che possono essere state lette (password, chiavi, token), perché quelle già copiate restano valide finché non le sostituisci.
Versioni interessate
- BTCPay Server: prima della 2.4.2
Fonti ufficiali
- blog.btcpayserver.org — avviso del produttore
- www.binance.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
BTCPay Server before 2.4.2, including 2.4.2 release candidates, contains an information disclosure vulnerability that allows unauthenticated remote attackers to retrieve .macaroon credential files for an LND (Lightning Network Daemon) node. Attackers can use the exposed macaroon to gain full control of the LND node, including moving funds, resulting in theft of funds from affected deployments.
Non sai se ti riguarda?
Se usi BTCPay Server e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.