CVE-2021-41238

Hangfire, .NET və ya .NET Core tətbiqlərində fon işlərinin emalını həyata keçirmək üçün açıq mənbəli sistemdir. Heç bir Windows Service və ya ayrıca proses tələb olunmur. Hangfire.Core-dakı Dashboard UI, həssas məlumatların icazəsiz istifadəçilərə göstərilməsinin qarşısını almaq üçün avtorizasiya filtrlərindən istifadə edir. Defolt olaraq, heç bir xüsusi avtorizasiya filtri təyin edilmədikdə, yalnız lokal sorğulara icazə vermək və bütün uzaq sorğuları qadağan etmək üçün `LocalRequestsOnlyAuthorizationFilter` filtri istifadə olunur ki, bu da defolt olaraq qorunan və məntiqli parametrləri təmin edir. Lakin son dəyişikliklər səbəbindən, 1.7.25 versiyasında defolt olaraq heç bir avtorizasiya filtri istifadə edilmir və bu da uzaq sorğuların uğurlu olmasına şərait yaradır. Əgər siz `UseHangfireDashboard` metodunu defolt `DashboardOptions.Authorization` xassəsi dəyəri ilə istifadə edirsinizsə, quraşdırmanız bu problemdən təsirlənmişdir. Əgər `DashboardOptions.Authorization` xassəsində hər hansı digər avtorizasiya filtri təyin edilibsə, onda siz təsirlənməmisiniz. Düzəliş edilmiş versiyalar (1.7.26) həm Nuget.org-da, həm də GitHub repozitoriyasında teqlənmiş buraxılış kimi mövcuddur. Defolt avtorizasiya qaydaları indi yenidən `LocalRequestsOnlyAuthorizationFilter` filtrini defolt parametrlərə əlavə etməklə uzaq sorğuları qadağan edir. Problemi aradan qaldırmaq üçün zəhmət olmasa ən yeni versiyaya yüksəldin. Yüksəltmə imkanı olmayan istifadəçilər üçün problemi Dashboard UI konfiqurasiyası zamanı `LocalRequestsOnlyAuthorizationFilter`-dən aşkar şəkildə istifadə etməklə aradan qaldırmaq mümkündür.