ACINQ 发布 Eclair v0.14.4：修复浏览器伪造命令漏洞

ACINQ 已正式发布 Eclair v0.14.4 版本，这是针对比特币闪电网络节点实现的一次关键安全升级。此次更新聚焦于修复潜在的浏览器命令伪造问题，有效阻断恶意网页通过应用程序接口（API）向运行中的节点发送未经授权指令的风险。

核心安全漏洞：跨站请求伪造（CSRF）

本次版本修复的核心问题是 API 层存在的跨站请求伪造隐患。攻击者可通过构造恶意网页，向本地可访问的 Eclair API 端点发起请求，从而在用户无感知的情况下执行节点操作。这种攻击路径尤其危险，因为它利用的是浏览器环境与节点控制界面之间的信任错配。

Eclair 作为闪电网络的重要参考实现之一，其 API 广泛应用于节点运营商、开发者及各类集成系统。若此类漏洞被利用，可能在未经明确授权的情况下触发通道关闭或资金转移等高危操作，对用户资产构成直接威胁。

增强安全边界：隔离浏览器与合法调用

v0.14.4 版本通过加强浏览器上下文请求与受信 API 调用之间的隔离机制，切断了外部网页注入命令的可能性。该更新特别防范了当用户在运行 Eclair 节点时访问不可信网站所引发的潜在风险。

具体实现细节已在 GitHub 官方发布说明中披露。这一改进延续了 Eclair 项目持续加固安全架构的策略。此前版本已解决费用计算边缘情况问题，而本次则进一步完善了对 API 访问来源的验证逻辑。对于将 Eclair API 暴露于非本地网络接口的运营商而言，此更新尤为重要。

运营商与开发者的应对建议

使用面向浏览器的 Eclair API 的节点运营商和应用开发者，应在生产环境变更前确认当前部署版本是否已升级至 v0.14.4。ACINQ 对发布版本进行了数字签名，并提供 PGP 验证文件，用于确保二进制文件的完整性和真实性。

同时，前端开发人员应重新评估其构建和校验 API 请求的方式，因为本次更新改变了节点对请求来源的判断标准。建议参考 ACINQ 提供的官方迁移指南，以适配不同集成场景下的部署需求。