BTCPay łączy poprawkę klucza API, najnowsza wersja wciąż przed datą poprawki

BTCPay Server połączył poprawkę 19 października, która dotyczyła luki umożliwiającej kluczom API z szerokimi uprawnieniami dostęp do funkcji na poziomie serwera. Stanowiło to ryzyko dla sprzedawców dzielących się poświadczeniami z integracjami. Nicolas Dorier połączył PR #7684 do gałęzi głównej, ale na dzień 26 października najnowsza wersja pozostaje wersją 2.4.5, datowaną na 6 października.

Poprawka modyfikuje granice uprawnień dla kluczy API, które są ograniczone zarówno przez uprawnienia, jak i sklep. Nowe testy regresyjne zapewniają, że klucze z nieograniczonymi uprawnieniami są ograniczone do jednego sklepu. Na przykład klucz administratora nie może uzyskać dostępu do ról serwera, a klucz zwykłego użytkownika nie może usunąć swojego konta.

Zmiana autoryzacji ogranicza uprawnienia zapasowe, pozwalając na przyznawanie tylko uprawnień sklepu, a nie sprawdzeń na poziomie serwera. Istniejące klucze administratora bez zakresu zachowają swoje poprzednie zachowanie. Łatka zapobiega również nieautoryzowanemu tworzeniu kluczy poprzez sprawdzanie żądanych uprawnień w odniesieniu do przyznanych uprawnień wywołującego.

Tworzenie kluczy ma wyraźne wymagania wstępne, przy czym punkt końcowy samoobsługowy wymaga nieograniczonej władzy, a punkt końcowy administratora wymaga uprawnień do modyfikacji ustawień serwera. Publiczny PR nie zgłasza żadnych potwierdzonych przypadków wykorzystania ani strat. Pierwsza dotknięta wersja pozostaje niejasna, a dokumentacja BTCPay zaleca sprzedawcom, aby żądali jak najwęższych uprawnień.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.