Lowcoder バージョン 2.4.10 の Query Library 機能の API には、認証バイパスの脆弱性が存在します。この欠陥により、管理者または開発者のロールを持つ認証済みユーザーは、マルチテナントインスタンスで他の組織のプライベートクエリデータにアクセスできます。メタデータ取得およびクエリ実行の脆弱な API エンドポイントは、要求されたリソースがユーザーの組織に属しているかどうかを確認しません。ロールベースのアクセスは存在しますが、それはユーザー自身の組織に対してロールを検証するだけです。いずれかの組織で管理者または開発者の権限を持つ攻撃者は、他の組織のライブラリクエリの完全な DSL を表示できます。また、インスタンス上の任意のライブラリクエリを実行し、影響を受ける組織のバックエンドから直接データを受け取ることができます。これにより、テナント間のデータ漏洩、変更、または破壊につながる可能性があります。さらに、攻撃者は他のテナントのリソースを使用して有料データソースをクエリすることで、コストの乱用を引き起こす可能性があります。この脆弱性は、組織間のデータ分離に違反します。残念ながら、Lowcoder はこの問題の修正を調整するために連絡が取れていません。管理者は、影響を受ける API エンドポイントへのアクセスを制限し、アプリケーションへのアクセスを信頼できるユーザーに限定することを推奨します。管理者および開発者のロール割り当ての見直しも推奨されます。マルチテナントデプロイメントでは、テナントを個別のインスタンスに分離することで、より広範な保護を提供できます。ソースコードの変更が可能であれば、これらの API 呼び出しに対して組織レベルの認証チェックを実装することが重要です。