LNbits 1.7.0rc4 з’явилася на PyPI: тестовий пакет ще не означає відновлення сервісу
Публікація джерела: 2026-11-10 · Редакційний аналіз опубліковано: 2026-11-10
Пакет від 10 листопада з’явився після безпекових змін 9 листопада. PyPI позначає його попередньою версією; стабільний реліз GitHub перевіряють окремо.
Новий пакет уже доступний для перевірки
LNbits 1.7.0rc4 завантажили в офіційний пакет проєкту на PyPI 10 листопада о 01:51 UTC. Це конкретний розвиток після екстреного заклику зупинити сервери 8 листопада: оператори й розробники отримали нову опубліковану версію для перевірки. PyPI прямо позначає її попередньою, яка може бути нестабільною для робочого використання. Літери rc означають release candidate — кандидата, який ще перевіряють перед звичайним стабільним релізом.
Перед цим 1.7.0rc2 завантажили 9 листопада о 14:46 UTC. Того ж дня LNbits об’єднала безпекові зміни №4310 та №4313. Це різні свідчення: внесення змін у код, публікація пакета й доступність конкретного сервісу для користувачів не є однією подією. Сам новий пакет не підтверджує відновлення всіх установок, яких торкнувся інцидент.
Перевірте, який список версій читаєте
На момент нашої перевірки 10 листопада останнім опублікованим стабільним релізом GitHub залишався v1.6.2 від 18 вересня. У ньому описано виправлення резервного копіювання PostgreSQL. Позиція «останній» у списку GitHub не перетворює його на новий патч листопадового інциденту. І навпаки, поява 1.7.0rc4 на PyPI не означає оголошення звичайного стабільного 1.7.0 на GitHub.
Це важливо, бо оператори встановлюють LNbits різними способами. Доступна версія в одному каналі не доводить зміни іншого каналу чи хостингового сервісу. Потрібні точний номер і статус попереднього релізу, а не загальна позначка stable чи місце сторінки в пошуку. Версія, реально встановлена оператором, — ще один окремий факт для кожного сервісу.
Що змінюють безпекові роботи
Об’єднані зміни централізують перевірку вихідних запитів і посилюють захист від спрямування сервера на самого себе чи приватні адреси. Такий клас проблем називають SSRF: застосунок можуть переконати зробити запит від чужого імені. Назви змін та історія коду підтверджують роботу над цим захистом, але не є повним розслідуванням усіх атак, про які повідомляли під час інциденту.
Ми також прочитали опублікований архів коду rc4, не запускаючи програму. Типовий параметр дозволу нових облікових записів у ньому вимкнений, а метадані вимагають Python від 3.10 до версій нижче 3.14. Типове значення нового коду не доводить такого самого значення в збережених налаштуваннях чинної установки. Оператору потрібно розуміти конфігурацію, яку він реально використовує, та сумісність свого встановлення.
Чому майнеру важливий застосунок гаманця
LNbits — прикладний шар Bitcoin і Lightning, а не правила мережі Bitcoin чи прошивка ASIC. Новина стосується майнера тоді, коли його реальний маршрут виплат або отримання використовує LNbits. Це не означає, що кожному Bitcoin-майнеру потрібно встановлювати цей пакет, міняти пул чи звичайний отримувач у блокчейні, який не залежить від LNbits.
Під час перевірки платежу розділіть етапи: чи пул зарахував роботу, чи надіслав виплату та чи може застосунок-отримувач її облікувати й показати. Робочий майнер сам по собі не підтверджує справності сервісу отримання. Так само його перерва не означає автоматичного припинення прийнятої роботи ASIC. Збережіть відповідні записи пулу та платежу, перш ніж робити висновок.
Корисне запитання оператору
Для хостингового облікового запису LNbits запитайте оператора, яка точна версія встановлена та які вказівки діють для відновлення цього сервісу. Час публічного завантаження пакета не відповідає на це замість оператора. Для власного сервера варто тримати разом версію, спосіб установлення, налаштування й інформацію про резервні копії, щоб тестування чи відновлення починалося з відомого стану.
Не публікуйте секрети гаманця чи адміністративні ключі під час звернення по допомогу. Реквізит платежу, статус і час можна зберегти для перевірки, не розкриваючи повноважень керувати коштами. Мета — звірити реальний маршрут конкретної виплати, а не припустити, що новий номер версії вже відновив кожен обліковий запис або повернув раніше відсутні гроші.
Прогрес із точно названим статусом
Свіжий розвиток — доступність rc4 як датованого тестового пакета та видимі безпекові зміни в коді проєкту. Перевірка кандидата в ізольованій установці може показати сумісність, але відрізняється від рішення знову відкрити сервіс, який працює з грошима. У цьому матеріалі ми не запускали LNbits, не перевіряли атаку й не сертифікували пакет як безпечний.
Перш ніж вважати інцидент закритим для певного сервера, звірте поточні офіційні вказівки проєкту та повідомлення його оператора. Об’єднане виправлення, опублікований кандидат, установлене оновлення й доступний клієнтам сервіс — різні етапи. Точні назви дозволяють майнерам стежити за реальним відновленням, не сприймаючи запис у каталозі пакетів як підтвердження роботи власного отримувача.
Джерело: LNbits / PyPI and official source ↗ · Official GitHub releases ↗ · Merged security change 4310 ↗ · Merged security change 4313 ↗ · Versioned PyPI metadata ↗
Калькулятор майнінгу ↗
