BTCPay une correção de chave API, a versão mais recente ainda é anterior ao patch

O BTCPay Server uniu uma correção em 19 de outubro abordando uma vulnerabilidade que permitia que chaves API com permissões amplas acessassem funções em todo o servidor. Isso representava um risco para os comerciantes que compartilhavam credenciais com integrações. Nicolas Dorier uniu o PR #7684 ao branch principal, mas até 26 de outubro, a versão mais recente continua sendo a 2.4.5, datada de 6 de outubro.

A correção modifica os limites de permissão para chaves API, que são restritas tanto por permissão quanto por loja. Novos testes de regressão garantem que chaves com permissões irrestritas sejam limitadas a uma única loja. Por exemplo, a chave de um administrador não pode acessar funções de servidor, e a chave de um usuário comum não pode excluir sua conta.

A mudança de autorização restringe permissões de fallback, permitindo concessões apenas para permissões de loja, não verificações em todo o servidor. Chaves de administrador existentes sem escopo manterão seu comportamento anterior. O patch também impede a criação não autorizada de chaves, verificando as permissões solicitadas em relação às concessões do chamador.

A criação de chaves tem requisitos de entrada distintos, com o endpoint de autoatendimento precisando de autoridade irrestrita e o endpoint do administrador exigindo autoridade para modificação de configurações do servidor. O PR público não relata nenhuma exploração ou perdas confirmadas. A primeira versão afetada permanece incerta, e a documentação do BTCPay aconselha os comerciantes a solicitar as permissões mais restritas possíveis.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.