РелизВерсия v2.35.0
ntfy 2.35.0 исправляет обход защиты тем через Matrix на SQLite
Выпуск ntfy 2.35.0 от 30 октября 2026 года исправляет проверку тем Matrix push gateway, параллельные запросы и применение лимитов.
Matrix push gateway теперь отклоняет push key, который не обозначает допустимую тему. Раньше проверка доступа и последующая нормализация имени могли расходиться: некорректное имя после удаления NUL-байта превращалось в имя защищённой темы, куда сохранялось сообщение.
Разработчики прямо ограничивают этот сценарий SQLite: на PostgreSQL такой запрос отклонялся. В release notes не приведены CVE и оценка серьёзности; подтверждённый эффект — неавторизованная запись сообщения, а не произвольное чтение всех уведомлений.
Также устранены перемежающиеся 403 и паники при параллельных запросах с одного IP. Изменение тарифа теперь сохраняет уже израсходованные лимиты, а суточный лимит email становится жёсткой границей, без дополнительного превышения за счёт burst.