Sicherheits-Release
Das Release v4.12.0 enthält koordinierte Sicherheits-Härtungsmaßnahmen, die auf v4.11.1 folgen. Dies ist ein kritisches Sicherheits-Release, das bestätigte Stored-XSS-Pfade sowie weitere signifikante Schwachstellen behebt, die in früheren Versionen gefunden wurden. Benutzer sollten das Update so schnell wie möglich durchführen und sicherstellen, dass sie den neuesten ADAMANT Messenger-Build verwenden.
Wichtige Änderungen
Dieses Release schließt bestätigte Stored-XSS-Pfade, entfernt jegliche v-html-Verwendung, härtet das Markdown-Rendering durch SafeHtml und verifiziert vom Node bereitgestellte öffentliche Schlüssel anhand der Adressen. Die lokale Speicherung von Geheimnissen und die Passwort-KDF wurden auf versioniertes scrypt aktualisiert, kryptografische Hilfsfunktionen wurden zu @noble und @scure migriert und eine strikte CSP wird nun über PWA, Tor, Testnet, Android und Electron-Artefakte hinweg erzwungen.
Die Grenzen für Android-Backups und Datenextraktion sowie die FileProvider-Pfade wurden gehärtet. AIP-6-Signalnachrichten werden aus dem sichtbaren Chatverlauf herausgehalten, und die Grenzen für binäre sowie hexadezimale Krypto-Eingaben wurden normalisiert. Die Synchronisationsschwellenwerte für Coin-Services wurden korrigiert, sodass nachhängende Indexer nicht mehr als verfügbar behandelt werden, und die Prüfungen der Node-Mindestversion verwenden nun semver anstelle eines lexikografischen String-Vergleichs.
Fehlerbehebungen
Coin-Services behandeln nachhängende Indexer nicht mehr als online; dies wurde durch PR #954 gelöst. Die neuesten Nodes (v0.10.0+) werden nicht mehr fälschlicherweise als nicht unterstützt oder mit einer veralteten API-Version markiert; dies wurde durch PR #956 gelöst.
Aufgaben
Das Release umfasst Vorbereitungen für eine sichere ESLint 10-Migration ohne Verlust der Import-Prüfungen, eine Überprüfung veralteter direkter Abhängigkeiten mit einem phasenweisen Austauschplan sowie ein umfassendes Sicherheitsaudit mit koordinierten Härtungsarbeiten in den PRs #963, #964 und #966.