BTCPay报告可能允许访问您的服务器的潜在漏洞

安全研究和开发公司Doyensec的一名研究员向去中心化支付处理团队透露了比特币BTCPay发现其服务器上的潜在漏洞。它可能导致恶意商家访问平台并过滤受感染的页面。

在今年8月15日公司博客上发布的信息中，BTCPay团队解释了Kevin Joensen在8月7日检测到的漏洞的特征。他补充说，通过开发新版本的服务器，第二天就更正了。因此，它建议用户更新到版本1.0.3.127。

BTCPay团队强调了用户尽快执行更新的重要性，尽管到目前为止还没有证据表明漏洞已在实践中被利用。

但是，某些用户可能会受到某些影响，主要是主机或管理员。这些客户端允许注册其他用户，这些用户可能是“将您的服务器托管给未知且可能具有恶意的恶意玩家”。从这个意义上说，自动托管的常规实例没有风险，其用户不允许注册未知的参与者。

在这方面，解释了三种类型的BTCPay服务器用户之间的差异：主机（管理员），商家（用户）和客户（支付商家的用户）。

如果您自己托管BTCPay服务器，那么您既是主机又是商家。如果您是外部主机提供商，则主机和商家不是同一个用户，因为它允许其他用户注册和使用您的实例。

BTCPay。

该信息重申该漏洞仅影响第三方主机，这些主机已启用不受信任用户的注册。因此，在BTCPay Server部署期间，默认情况下禁用其他用户的注册。

攻击可能性

关于检测到的漏洞，团队指出服务器上存在的问题是跨站点脚本（XSS）中的失败。这些将允许攻击者将客户端脚本注入其他用户查看的网页。

通过这种方式，一些黑客可以创建一个过滤SSH或Secure Shell密钥的页面。它是一种管理协议，允许用户通过Internet控制和修改其远程服务器。因此，该漏洞可能被恶意商家利用，影响第三方主机及其用户。

如果恶意第三方转到第三方主机并且主机点击恶意链接，主机可能会泄露其服务器的SSH密钥，允许恶意第三方控制它。这可以逐步使用并获得对服务器的控制并窃取Lightning Network资金。

BTCPay。

此更新试图纠正此问题，阻止使用ajax请求（与主服务器的异步通信）检索SSH密钥。

添加信息性说明，随着更新新功能也添加到服务器，以改善用户体验。其中他们提到了标签和投资组合评测的发布。此功能提供标签选项，同时允许您为使用投资组合执行的每个事务添加个性化注释。

BTCPay于2017年成为BitPay的去中心化替代品，BitPay是比特币支付处理最受欢迎的平台。根据其董事的说法，在2018年底，它在Github有超过1600个承诺并支持10个山寨币;除了为电子商务添加了几种解决方案。去年3月，他加入了闪电网络。