BTCPay объединяет исправление ключа API, последнее обновление все еще предшествует патчу

BTCPay Server объединил исправление 19 октября, устраняющее уязвимость, которая позволяла ключам API с широкими правами доступа получать доступ к функциям на уровне сервера. Это создавало риск для торговцев, делящихся учетными данными с интеграциями. Николас Дориер объединил PR #7684 в основную ветку, но на 26 октября последнее обновление остается версией 2.4.5, датированной 6 октября.

Исправление изменяет границы разрешений для ключей API, которые ограничиваются как разрешениями, так и магазином. Новые регрессионные тесты гарантируют, что ключи с неограниченными разрешениями ограничены одним магазином. Например, ключ администратора не может получить доступ к ролям сервера, а ключ обычного пользователя не может удалить свою учетную запись.

Изменение авторизации ограничивает резервные разрешения, позволяя предоставлять только разрешения для магазина, а не проверки на уровне сервера. Существующие неограниченные ключи администратора сохранят свое предыдущее поведение. Патч также предотвращает несанкционированное создание ключей, проверяя запрашиваемые разрешения на соответствие правам вызывающего.

Создание ключей имеет отдельные требования к входу, при этом конечная точка самообслуживания требует неограниченной власти, а конечная точка администратора требует полномочий на изменение настроек сервера. Публичный PR не сообщает о каких-либо подтвержденных случаях эксплуатации или убытков. Первая затронутая версия остается неясной, и документация BTCPay советует торговцам запрашивать как можно более узкие разрешения.