CVE-2026-119757 Exposición de archivos de credenciales macaroon de LND en BTCPay Server

Afectados

• BTCPay Server

  hasta antes de 2.4.2

Qué hacer

1. Verificá si usás BTCPay Server y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadAlta
• DisponibilidadAlta

CVSS 4.0 · 9.3 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• Confidencialidad (sistema vulnerable)Alta
• Integridad (sistema vulnerable)Alta
• Disponibilidad (sistema vulnerable)Alta
• Confidencialidad (sistemas posteriores)Ninguna
• Integridad (sistemas posteriores)Ninguna
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

BTCPay Server before 2.4.2, including 2.4.2 release candidates, contains an information disclosure vulnerability that allows unauthenticated remote attackers to retrieve .macaroon credential files for an LND (Lightning Network Daemon) node. Attackers can use the exposed macaroon to gain full control of the LND node, including moving funds, resulting in theft of funds from affected deployments.

Referencias (3)

• blog.btcpayserver.org/security-advisory-btcpay-server-2-4-2/
• www.binance.com/en/square/post/384812445203404
• www.vulncheck.com/advisories/btcpay-server-lnd-macaroon-credential-file-disclosure

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.