BTCPay Server corrige vulnerabilidad en claves de API

BTCPay Server ha implementado una corrección en su código para limitar el alcance de las claves de API. La modificación, consolidada el 19 de octubre, impide que las credenciales con permisos amplios en una sola tienda accedan a funciones de todo el servidor o de la cuenta.

El desarrollador Nicolas Dorier integró el cambio en la rama principal del proyecto. El objetivo es evitar que las integraciones externas obtengan una autoridad superior a la necesaria para el procesamiento de pagos en Bitcoin.

Hasta el 26 de octubre, la versión más reciente listada por el software seguía siendo la 2.4.5, fechada el 6 de octubre. Esto significa que la actualización de seguridad aún no ha sido puesta a disposición de los usuarios finales a través de los canales estándar de distribución.

La falla permitía que las claves con alcance de tienda eludieran restricciones de seguridad en operaciones administrativas. Las nuevas pruebas de regresión garantizan que las claves de usuarios comunes no puedan realizar acciones como la eliminación de cuentas, incluso si poseen permisos elevados dentro de un contexto específico.

El cambio en el control de autorización ajusta la forma en que el sistema valida las solicitudes sin alcance definido. Ahora, el software deniega permisos de nivel de servidor o de cuenta si la clave no posee los privilegios necesarios, lo cual refuerza la protección de los datos de los comerciantes.