BTCPay funde correção da chave API, última versão ainda é anterior ao patch

O BTCPay Server fundiu uma correção em 19 de outubro que aborda uma vulnerabilidade que permitia que chaves API com permissões amplas acessassem funções em todo o servidor. Isso representava um risco para os comerciantes que compartilhavam credenciais com integrações. Nicolas Dorier fundiu o PR #7684 na branch principal, mas até 26 de outubro, a última versão continua sendo a 2.4.5, datada de 6 de outubro.

A correção modifica os limites de permissão para chaves API, que são restritas tanto por permissão quanto por loja. Novos testes de regressão garantem que chaves com permissões irrestritas sejam limitadas a uma única loja. Por exemplo, a chave de um administrador não pode acessar funções de servidor, e a chave de um usuário comum não pode excluir sua conta.

A alteração de autorização restringe permissões de fallback, permitindo concessões apenas para permissões de loja, não verificações em todo o servidor. As chaves de administrador existentes sem escopo manterão seu comportamento anterior. O patch também impede a criação não autorizada de chaves, verificando as permissões solicitadas em relação às concessões do chamador.

A criação de chaves tem requisitos de entrada distintos, com o endpoint de autoatendimento precisando de autoridade irrestrita e o endpoint do administrador exigindo autoridade para modificar configurações do servidor. O PR público não relata nenhuma exploração ou perdas confirmadas. A primeira versão afetada permanece incerta, e a documentação do BTCPay aconselha os comerciantes a solicitar as permissões mais restritas possíveis.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.