BTCPay Server, программное обеспечение для приема платежей в биткоинах, 19 октября внесло исправление, устраняющее уязвимость, которая могла позволить ключам API с широкими правами доступа для одного магазина получать доступ к функциям, работающим на уровне всего сервера или всей учетной записи. Для продавцов, которые передают такие учетные данные сторонним сервисам, риск заключается в том, что им может быть предоставлен больший объем прав доступа, чем предполагалось.

Николя Дори внес изменения (PR #7684) в основную ветку разработки проекта. По состоянию на 26 октября, список выпущенных версий BTCPay по-прежнему указывает версию 2.4.5, выпущенную 6 октября, как последнюю.

Как изменились ограничения доступа

В документации BTCPay ключи API описываются как учетные данные для интеграции, ограниченные правами доступа и магазином. Это отдельные ограничения: что приложение может делать и к какому магазину оно может получить доступ.