- Исправлен обход аутентификации в обработчике уведомлений: добавлена валидация типов данных, проверка подписи через hash_equals, сверка суммы и AccountNo, защита от повторного зачисления.
- Исправлено построение ReturnUrl/FailUrl: используется доверенный хост из настроек сайта вместо HTTP_HOST, добавлено логирование подмены хоста.
- Исправлено построение URL уведомлений по умолчанию: хост берется из server_name, добавлены предупреждения администратору о несовпадении хоста и о пустом секретном слове при включенной проверке подписи.
- Улучшена криптография проверки подписи: при пустом секрете вычисление подписи отменяется, убран trim() секретного слова, используется hash_equals для защиты от timing-атак.
- Исправлены XSS-уязвимости в шаблонах checkout.php и error.php, исправлены ключи массива params.
- При ошибках API покупателю выводится обобщенное сообщение, детали уходят в лог.
- Добавлены языковые сообщения для новых ошибок и предупреждений.
- Языковые файлы переведены в кодировку UTF-8.