BTCPay unisce la correzione della chiave API, l'ultima versione è ancora precedente alla patch

BTCPay Server ha unito una correzione il 19 ottobre che affronta una vulnerabilità che consentiva alle chiavi API con ampie autorizzazioni di accedere a funzioni a livello di server. Questo rappresentava un rischio per i commercianti che condividevano le credenziali con le integrazioni. Nicolas Dorier ha unito la PR #7684 nel ramo master, ma al 26 ottobre, l'ultima versione rimane la 2.4.5, datata 6 ottobre.

La correzione modifica i confini delle autorizzazioni per le chiavi API, che sono limitate sia dalle autorizzazioni che dal negozio. Nuovi test di regressione garantiscono che le chiavi con autorizzazioni illimitate siano limitate a un singolo negozio. Ad esempio, la chiave di un amministratore non può accedere ai ruoli del server e la chiave di un utente normale non può eliminare il proprio account.

La modifica dell'autorizzazione limita le autorizzazioni di fallback, consentendo concessioni solo per le autorizzazioni del negozio, non per controlli a livello di server. Le chiavi di amministratore esistenti senza ambito manterranno il loro comportamento precedente. La patch impedisce anche la creazione non autorizzata di chiavi controllando le autorizzazioni richieste rispetto alle concessioni del chiamante.

La creazione di chiavi ha requisiti di accesso distinti, con l'endpoint self-service che necessita di autorità illimitata e l'endpoint dell'amministratore che richiede l'autorità di modifica delle impostazioni del server. La PR pubblica non riporta alcuna sfruttamento o perdite confermate. La prima versione colpita rimane poco chiara e la documentazione di BTCPay consiglia ai commercianti di richiedere le autorizzazioni più ristrette possibili.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.