На странице
  1. База знаний
  2. Обход ТСПУ

Релизы как вехи

Remnawave 3.0, утечка сабпейджа и прочие переломы.

Пруфов: 9Обновлено 17.09.2026Исходник 2 мин чтения

Утечка уязвимости сабпейджа Remnawave (20–22.06.2026) · Часть A

  • пруф Security notice: критическая уязвимость в Subscription Page (fix 2.7.5). Эксплойт вытягивает JSON всех нод.
  • пруф Полное описание: инъекция в путь запроса /api/users (SSRF/инъекция путей); подмена URL-эндпоинтов панели, кража admin-куки.
  • пруф Эсторшн: дамп ремны из-за бэкдора за 500$ на TRC-20.
  • пруф В кабине есть дырка с токенами, можно получить доступ к аккаунту жертвы; Egor: «Поправим сегодня» пруф.
  • пруф Кейс КубВПН (fdsfhf.su) — домен сабки/кабинета/панели на одном, эксплоит вытащил данные.

Remnawave / Bedolaga релизы 2025 — 2026 (вехи) · Часть A

ДатаВерсияЧто добавлено
30.12.2025Bot v2.9.4CloudPayments, очередь чеков NaloGO, модемы, резервные копии API, бонусные подписки
08.01.2026Bot v2.9.5Freekassa, режим тарифов SALES_MODE=tariffs, GET /api/system/metadata
10.01.2026Bot v2.9.6Докупка трафика в MiniApp, скидки промогрупп
16.01.2026Bot v3.0.0 + Cabinet v1.0.0Новый веб-кабинет (BEDOLAGA-DEV/bedolaga-cabinet), суточные тарифы, умная докупка трафика (каждый пакет живёт свои 30 дней)
18.01.2026Bot v3.1.0 + Cabinet v1.1.0Мониторинг трафика (TRAFFIC_FAST_CHECK_*), промокоды РК с бонусом
20.01.2026Cabinet v1.2.0UX правки, конфиги приложений из ремны
21.01.2026Bot v3.1.2, Cabinet v1.3.0hide-subscription-link, отписка от писем RFC 8058
23.01.2026Cabinet v1.3.1, Bot v3.1.3QR для подарков, Kassa.ai
25.01.2026Email-регистрация в кабинете (main merge)CABINET_URL
27.01.2026Bot v3.2.0 + Cabinet v1.4.0Полноценная email-рега, редактируемые email-шаблоны, tribute-вывод, старая MiniApp удалена
31.01.2026Bot v3.3.0 + Cabinet v1.5.0WebSocket уведов, email-фильтр рассылок
04.02.2026Cabinet v1.6.0Редизайн в стиле Linear, Aurora WebGL, откат с tma.js на нативный Telegram WebApp API
07.02.2026Bot v3.6.0 + Cabinet v1.9.0OAuth 2.0 (Google, Yandex, Discord, VK), Twemoji
08.02.2026Bot v3.7.0→v3.8.0Управление устройствами, трафик-пакеты, эндпоинт системной информации
10.02.2026Bot v3.10.0Вебхуки Remnawave (30 событий)
12.02.2026Bot v3.10.312 toggle-настроек уведомлений
28.02–03.03.2026несколько релизовсм. note_042, note_043
26.03.2026Remnawave 2.7.0/2.7.2Hysteria2, плагины
16.06.2026Bot v3.63.0UI оптовых купонов /admin/coupons, рекуррентные платежи

Remnawave / Bedolaga релизы 06.2026-08.2026 · Часть B

ДатаВерсияЧто
16.06.2026Bot v3.63.0UI оптовых купонов
29.06.2026Remnawave 2.8.0HWID, userUuid → userId, Xray v26.6.27
30.06.2026Bot v3.62.0 + Cabinet v1.59.0Требуется панель 2.8.0
20.07.2026(не-веховый)INCY 3.3.5, node-diagnostic
13.08.2026Bot v3.66.0СБП-рекурренты Platega
30.07.2026Bot v3.67.0 + Cabinet v1.64.0Рекуррентные Lava, согласие офертой
25.07.2026Bot v3.66.0 + кабинетПолный фронтенд рекуррентных СБП
04.08.2026Bot v4.0.0 (Remna 3.0.0)userUuid → числовой id
20.08.2026Bot v4.1.0Подключение с главной, GeoCheck нод
23.08.2026—День рождения чата (год)

Remnawave 3.0 (Breaking change) · Часть B

  • 03.08.26 Полный переход на Remnawave 3.0.0 — ломающий релиз: панель убрала uuid из пользователей, адресация только по числовому id; старый бот шлёт UUID, панель отвечает 400 expected number, received NaN.
  • 03.08.26 Команды обновления v4.0.0:
    .env: TRAFFIC_EXCLUDED_USER_UUIDS → TRAFFIC_EXCLUDED_USER_IDS, временно GRACE_ACCESS_MODE=drain
# Бот (в папке с ботом!)
git pull
docker compose build bot
docker compose stop bot
docker compose run --rm bot alembic upgrade head
docker compose run --rm bot python -m scripts.backfill_remnawave_ids           # dry-run
docker compose run --rm bot python -m scripts.backfill_remnawave_ids --apply   # запись
docker compose up -d bot
  • 03.08.26 Grace-доступ: crash-safe ограниченный доступ для истёкших/лимитированных подписок.