BTCPay Server corrige falha em chaves de API

O BTCPay Server implementou uma correção em seu código para limitar o alcance de chaves de API. A alteração, consolidada no dia 19 de outubro, impede que credenciais com permissões amplas em uma única loja acessem funções de todo o servidor ou da conta.

O desenvolvedor Nicolas Dorier integrou a modificação na ramificação principal do projeto. O objetivo é evitar que integrações externas obtenham autoridade superior ao necessário para o processamento de pagamentos em Bitcoin.

Até o dia 26 de outubro, a versão mais recente listada pelo software permanecia a 2.4.5, datada de 6 de outubro. Isso significa que a atualização de segurança ainda não foi disponibilizada oficialmente para os usuários finais através dos canais padrão de distribuição.

A falha permitia que chaves com escopo de loja pudessem contornar restrições de segurança em operações administrativas. Os novos testes de regressão garantem que chaves de usuários comuns não consigam realizar ações como a exclusão de contas, mesmo que possuam permissões elevadas dentro de um contexto específico.

A mudança no controle de autorização ajusta como o sistema valida solicitações sem escopo definido. Agora, o software nega permissões de nível de servidor ou de conta caso a chave não possua os privilégios necessários, reforçando a proteção dos dados dos comerciantes.