BTCPay fusiona la corrección de la clave API, la última versión aún es anterior al parche

BTCPay Server fusionó una corrección el 19 de octubre que aborda una vulnerabilidad que permitía a las claves API con amplios permisos acceder a funciones a nivel de servidor. Esto representaba un riesgo para los comerciantes que compartían credenciales con integraciones. Nicolas Dorier fusionó la PR #7684 en la rama principal, pero a partir del 26 de octubre, la última versión sigue siendo la 2.4.5, fechada el 6 de octubre.

La corrección modifica los límites de permisos para las claves API, que están restringidas tanto por permisos como por tienda. Nuevas pruebas de regresión aseguran que las claves con permisos sin restricciones se limiten a una sola tienda. Por ejemplo, la clave de un administrador no puede acceder a los roles del servidor, y la clave de un usuario regular no puede eliminar su cuenta.

El cambio de autorización restringe los permisos de respaldo, permitiendo concesiones solo para permisos de tienda, no para verificaciones a nivel de servidor. Las claves de administrador existentes sin alcance mantendrán su comportamiento anterior. El parche también previene la creación no autorizada de claves al verificar los permisos solicitados contra las concesiones del llamador.

La creación de claves tiene requisitos de entrada distintos, con el punto final de autoservicio que necesita autoridad sin restricciones y el punto final del administrador que requiere autoridad para modificar la configuración del servidor. La PR pública no informa sobre ninguna explotación o pérdidas confirmadas. La primera versión afectada sigue siendo incierta, y la documentación de BTCPay aconseja a los comerciantes solicitar los permisos más restringidos posibles.