LNbits 1.7.0rc4 llega a PyPI: el paquete de prueba no confirma la recuperación del servicio
Publicación de la fuente: 2026-11-10 · Análisis editorial publicado: 2026-11-10
El paquete del 10 de noviembre llega tras cambios de seguridad del día 9. PyPI lo marca como preliminar; la versión estable publicada en GitHub se comprueba por separado.
Ya hay un paquete nuevo para probar
LNbits 1.7.0rc4 se subió al paquete oficial del proyecto en PyPI el 10 de noviembre a las 01:51 UTC. Es un avance concreto después del aviso de parada urgente de servidores del 8 de noviembre: operadores y desarrolladores tienen una versión nueva publicada para examinar. PyPI la marca expresamente como preliminar y advierte que puede no ser estable para producción. Las letras rc significan candidata a publicación, todavía en comprobación antes de una versión estable normal.
La precedió 1.7.0rc2, subida el 9 de noviembre a las 14:46 UTC. LNbits también integró los cambios de seguridad 4310 y 4313 ese día. Son evidencias separadas: integrar código, publicar un paquete y hacer que un servicio concreto vuelva a estar disponible no son el mismo acontecimiento. El nuevo paquete por sí solo no confirma la recuperación de todas las instalaciones afectadas.
Comprobar qué lista de versiones se lee
En nuestra revisión del 10 de noviembre, la última versión estable publicada en GitHub seguía siendo v1.6.2, del 18 de septiembre. Su descripción trata una corrección de copias PostgreSQL. Estar arriba en esa lista no la convierte en un parche nuevo del incidente de noviembre. A la inversa, encontrar 1.7.0rc4 en PyPI no significa que GitHub haya anunciado una versión estable normal 1.7.0.
Importa porque los operadores instalan LNbits mediante distintos métodos. Una versión disponible en un canal no prueba que otro canal o servicio alojado haya cambiado. Lea número exacto y estado preliminar, en lugar de confiar en una insignia genérica stable o la posición en un buscador. La versión realmente desplegada por el operador es otro hecho que hay que comprobar para ese servicio.
Qué cambia el trabajo de seguridad
Los cambios integrados centralizan controles de solicitudes salientes y refuerzan la protección contra dirigir al servidor hacia sí mismo o destinos privados. Esta clase de problema se denomina SSRF: se puede inducir a una aplicación a realizar una petición por cuenta de otra persona. Los títulos y el historial prueban trabajo sobre esas defensas, no una reconstrucción forense completa de todos los ataques del incidente.
También leímos el archivo fuente publicado de rc4 sin ejecutar el programa. Permitir cuentas nuevas está desactivado por defecto, y sus metadatos requieren Python desde 3.10 y menor que 3.14. Un valor por defecto del código nuevo no demuestra el valor guardado en una instalación existente. El operador aún necesita entender la configuración que despliega y la compatibilidad de su propia instalación.
Por qué importa a un minero una aplicación de cartera
LNbits es una capa de aplicación de Bitcoin y Lightning, no el consenso de Bitcoin ni el firmware de un ASIC. La noticia importa cuando la ruta real de pago o recepción del minero utiliza LNbits. No implica que todos los mineros deban instalar el paquete, cambiar de pool o sustituir una cartera ordinaria en cadena que no use LNbits.
Al investigar un pago, separe etapas: ¿el pool acreditó el trabajo, envió el pago y la aplicación receptora puede contabilizarlo y mostrarlo? Un minero funcionando no demuestra por sí solo que el receptor esté sano. Del mismo modo, una interrupción del servicio receptor no implica automáticamente que el ASIC haya dejado de enviar trabajo aceptado. Conserve los registros del pool y del pago antes de concluir.
Una pregunta útil al operador
En una cuenta alojada, pregunte al operador qué versión exacta está desplegada y qué instrucciones aplican a la recuperación de ese servicio. Una fecha pública de subida no responde por él. En una instalación propia, mantenga juntos versión, método de instalación, configuración y datos de las copias de seguridad, para que pruebas o restauración partan de un estado conocido.
No publique secretos de la cartera ni claves administrativas al pedir ayuda. Referencia, estado y hora de un pago pueden conservarse para investigarlo sin revelar credenciales que controlan dinero. El objetivo es reconciliar la ruta real del pago concreto, no suponer que un nuevo número ya reparó todas las cuentas o devolvió fondos que faltaban anteriormente.
Avance con un estado de versión claro
La novedad es que rc4 está disponible como paquete de prueba fechado, junto a cambios de seguridad visibles en el código del proyecto. Probar una candidata en un entorno aislado puede informar sobre compatibilidad, pero no equivale a declarar listo para reabrir un servicio que maneja dinero. Este informe no ejecutó LNbits, no probó ataques ni certificó independientemente la seguridad del paquete.
Consulte instrucciones oficiales actuales y el aviso del operador antes de considerar resuelto el incidente para una instalación. Un arreglo integrado, una candidata publicada, una actualización desplegada y un servicio disponible son hitos distintos. Nombrarlos con precisión permite seguir la recuperación real sin confundir una entrada en el catálogo de paquetes con la confirmación de que el receptor propio ya funciona.
Fuente: LNbits / PyPI and official source ↗ · Official GitHub releases ↗ · Merged security change 4310 ↗ · Merged security change 4313 ↗ · Versioned PyPI metadata ↗
Calculadora de minería ↗
