BTCPay hợp nhất sửa lỗi khóa API, phiên bản mới nhất vẫn trước bản vá

BTCPay Server đã hợp nhất một bản sửa lỗi vào ngày 19 tháng 10 nhằm giải quyết một lỗ hổng cho phép các khóa API với quyền hạn rộng có thể truy cập các chức năng toàn bộ máy chủ. Điều này gây ra rủi ro cho các thương nhân chia sẻ thông tin xác thực với các tích hợp. Nicolas Dorier đã hợp nhất PR #7684 vào nhánh chính, nhưng tính đến ngày 26 tháng 10, phiên bản mới nhất vẫn là phiên bản 2.4.5, có ngày 6 tháng 10.

Bản sửa lỗi điều chỉnh các ranh giới quyền hạn cho các khóa API, bị hạn chế bởi cả quyền hạn và cửa hàng. Các bài kiểm tra hồi quy mới đảm bảo rằng các khóa có quyền hạn không bị hạn chế chỉ được giới hạn cho một cửa hàng duy nhất. Ví dụ, khóa của quản trị viên không thể truy cập các vai trò máy chủ, và khóa của người dùng thông thường không thể xóa tài khoản của họ.

Thay đổi ủy quyền hạn chế quyền hạn dự phòng, cho phép cấp quyền chỉ cho quyền cửa hàng, không kiểm tra toàn bộ máy chủ. Các khóa quản trị viên hiện có không có phạm vi sẽ giữ nguyên hành vi trước đó. Bản vá cũng ngăn chặn việc tạo khóa trái phép bằng cách kiểm tra các quyền yêu cầu so với các quyền của người gọi.

Việc tạo khóa có các yêu cầu đầu vào riêng biệt, với điểm cuối tự phục vụ cần quyền hạn không bị hạn chế và điểm cuối của quản trị viên yêu cầu quyền sửa đổi cài đặt máy chủ. PR công khai không báo cáo bất kỳ sự khai thác hoặc tổn thất nào đã được xác nhận. Phiên bản đầu tiên bị ảnh hưởng vẫn chưa rõ ràng, và tài liệu của BTCPay khuyên các thương nhân yêu cầu quyền hạn hẹp nhất có thể.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.