BTCPay 合併 API 金鑰修正，最新版本仍早於補丁

BTCPay Server 在 10 月 19 日合併了一項修正，解決了一個漏洞，該漏洞允許具有廣泛權限的 API 金鑰訪問伺服器範圍的功能。這對於與整合共享憑證的商家來說構成了風險。Nicolas Dorier 將 PR #7684 合併到主分支，但截至 10 月 26 日，最新版本仍為 2.4.5，日期為 10 月 6 日。

該修正修改了 API 金鑰的權限邊界，這些邊界受到權限和商店的限制。新的回歸測試確保具有不受限制權限的金鑰僅限於單一商店。例如，管理員的金鑰無法訪問伺服器角色，而普通用戶的金鑰無法刪除其帳戶。

授權變更限制了後備權限，只允許授予商店權限，而不進行伺服器範圍的檢查。現有的未範圍化管理員金鑰將保留其先前的行為。該補丁還通過檢查請求的權限與呼叫者的授權進行比對，防止未經授權的金鑰創建。

金鑰創建有明確的進入要求，自助服務端點需要不受限制的權限，而管理員的端點則需要伺服器設置修改的權限。公共 PR 沒有報告任何確認的利用或損失。第一個受影響的版本仍不清楚，BTCPay 的文檔建議商家請求盡可能狹窄的權限。