BTCPay รวมการแก้ไขคีย์ API การอัปเดตล่าสุดยังคงก่อนแพตช์

BTCPay Server ได้รวมการแก้ไขเมื่อวันที่ 19 ตุลาคม ที่จัดการกับช่องโหว่ที่อนุญาตให้คีย์ API ที่มีสิทธิ์กว้างเข้าถึงฟังก์ชันทั่วทั้งเซิร์ฟเวอร์ ซึ่งเป็นความเสี่ยงสำหรับผู้ค้าในการแชร์ข้อมูลรับรองกับการรวมระบบ Nicolas Dorier ได้รวม PR #7684 เข้าสู่สาขาหลัก แต่ ณ วันที่ 26 ตุลาคม การอัปเดตล่าสุดยังคงเป็นเวอร์ชัน 2.4.5 ซึ่งมีวันที่ 6 ตุลาคม

การแก้ไขนี้ปรับเปลี่ยนขอบเขตสิทธิ์สำหรับคีย์ API ซึ่งถูกจำกัดโดยทั้งสิทธิ์และร้านค้า การทดสอบการถดถอยใหม่ช่วยให้มั่นใจว่าคีย์ที่มีสิทธิ์ไม่จำกัดจะถูกจำกัดให้กับร้านค้าเดียว ตัวอย่างเช่น คีย์ของผู้ดูแลระบบไม่สามารถเข้าถึงบทบาทของเซิร์ฟเวอร์ และคีย์ของผู้ใช้ทั่วไปไม่สามารถลบบัญชีของตนได้

การเปลี่ยนแปลงการอนุญาตจำกัดสิทธิ์สำรอง โดยอนุญาตให้มีการมอบสิทธิ์เฉพาะสำหรับสิทธิ์ของร้านค้า ไม่ใช่การตรวจสอบทั่วทั้งเซิร์ฟเวอร์ คีย์ผู้ดูแลระบบที่ไม่มีขอบเขตที่มีอยู่จะยังคงพฤติกรรมก่อนหน้านี้ แพตช์นี้ยังป้องกันการสร้างคีย์ที่ไม่ได้รับอนุญาตโดยการตรวจสอบสิทธิ์ที่ร้องขอต่อการอนุญาตของผู้โทร

การสร้างคีย์มีข้อกำหนดการเข้าถึงที่แตกต่างกัน โดยจุดสิ้นสุดบริการตนเองต้องการอำนาจที่ไม่จำกัด และจุดสิ้นสุดของผู้ดูแลระบบต้องการอำนาจในการแก้ไขการตั้งค่าเซิร์ฟเวอร์ PR สาธารณะไม่ได้รายงานการใช้ประโยชน์หรือการสูญเสียที่ยืนยันใด ๆ เวอร์ชันที่ได้รับผลกระทบแรกยังไม่ชัดเจน และเอกสารของ BTCPay แนะนำให้ผู้ค้าขอสิทธิ์ที่แคบที่สุดเท่าที่จะเป็นไปได้.