[错误]: GET /api/v1/apps/pos/{appId} 和 /api/v1/apps/crowdfund/{appId} 请求时的跨租户 IDOR
作者: geo-chen创建于 2026年8月4日更新于 2026年8月5日
什么是您的 BTCPay 版本？
v2.0.4
您如何部署 BTCPay Server？
Docker
发生了什么情况？
通过电子邮件报告于 2026 年 6 月 13 日：
我在 BTCPay Server 中发现了影响 Greenfield API 的授权绕过。两个端点 - GET /api/v1/apps/pos/{appId} 和 GET /api/v1/apps/crowdfund/{appId} - 缺少保护同级通用 GET /api/v1/apps/{appId} 路由和所有写入端点的商店范围策略授权。
内容来源: btcpayserver/btcpayserver