.NET Attribute Misuse: Authorization Bypass

O aplicativo ignora a autorização concedida pelo atributo [Authorize] com o uso de um atributo [AllowAnonymous] no nível de classe ou método.

O ASP.NET Core permite que as ações do aplicativo exijam autorização adicionando o atributo [Authorize] a uma classe ou método. Além disso, o requisito de autorização especificado de uma classe ou método de aplicativo pode ser ignorado adicionando o atributo [AllowAnonymous]. Quando ambos são especificados, o atributo [AllowAnonymous] tem precedência e ignora o atributo [Authorize]. Isso pode resultar no acesso arbitrário e anônimo de dados e ações confidenciais por um invasor.

Exemplo 1: O exemplo a seguir mostra o atributo [AllowAnonymous] no nível de classe substituindo um atributo [Authorize] definido no método. O método secretAction() não requer autorização apesar de ter o atributo [Authorize].

...
[AllowAnonymous]
public class Authorization_Test
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

Exemplo 2: O exemplo a seguir mostra o atributo [AllowAnonymous] no nível de classe de uma superclasse substituindo um atributo [Authorize] definido no método de uma subclasse. Como a classe herdada Inherit_AA tem o atributo [AllowAnonymous], o método secretAction() não requer autorização, apesar de especificar o atributo [Authorize].

...
[AllowAnonymous]
public abstract class Inherit_AA
{
    
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

Exemplo 3: A seguir é mostrado o atributo [AllowAnonymous] substituindo um atributo [Authorize] no nível do método com herança. Como o método herdado secretAction() tem o atributo [AllowAnonymous], o método secretAction() não requer autorização, apesar de especificar o atributo [Authorize] no método de substituição.

...
public abstract class Inherit_AA
{
    [AllowAnonymous]
    public abstract IActionResult secretAction()
    {
        
    }
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public override IActionResult secretAction()
    {
        
    }
}
...