BTCPay fusionne la correction de la clé API, la dernière version précède toujours le correctif

BTCPay Server a fusionné un correctif le 19 octobre abordant une vulnérabilité qui permettait aux clés API avec des autorisations larges d'accéder à des fonctions à l'échelle du serveur. Cela posait un risque pour les commerçants partageant des identifiants avec des intégrations. Nicolas Dorier a fusionné la PR #7684 dans la branche principale, mais au 26 octobre, la dernière version reste la version 2.4.5, datée du 6 octobre.

Le correctif modifie les limites de permission pour les clés API, qui sont restreintes à la fois par permission et par magasin. De nouveaux tests de régression garantissent que les clés avec des permissions illimitées sont limitées à un seul magasin. Par exemple, la clé d'un administrateur ne peut pas accéder aux rôles du serveur, et la clé d'un utilisateur régulier ne peut pas supprimer son compte.

Le changement d'autorisation restreint les permissions de secours, permettant des octrois uniquement pour les permissions de magasin, et non pour les vérifications à l'échelle du serveur. Les clés d'administrateur existantes sans portée conserveront leur comportement précédent. Le correctif empêche également la création non autorisée de clés en vérifiant les permissions demandées par rapport aux octrois du demandeur.

La création de clés a des exigences d'entrée distinctes, avec le point de terminaison en libre-service nécessitant une autorité illimitée et le point de terminaison de l'administrateur nécessitant une autorité de modification des paramètres du serveur. La PR publique ne signale aucune exploitation ou perte confirmée. La première version affectée reste floue, et la documentation de BTCPay conseille aux commerçants de demander les permissions les plus étroites possibles.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.