Lowcoder 버전 2.4.10은 Query Library 기능의 API에서 권한 우회 취약점을 가지고 있습니다. 이 결함으로 인해 관리자 또는 개발자 역할을 가진 인증된 사용자는 멀티 테넌트 인스턴스에서 다른 조직의 비공개 쿼리 데이터에 접근할 수 있습니다. 메타데이터 검색 및 쿼리 실행을 위한 취약한 API 엔드포인트는 요청된 리소스가 사용자의 조직에 속하는지 확인하지 못합니다. 역할 기반 접근 제어가 존재하지만, 이는 사용자의 자체 조직에 대한 역할만 검증합니다.어떤 조직에서든 관리자 또는 개발자 권한을 가진 공격자는 다른 조직의 라이브러리 쿼리의 전체 DSL을 볼 수 있습니다. 또한 인스턴스에서 라이브러리 쿼리를 실행하여 영향을 받은 조직의 백엔드에서 직접 데이터를 받을 수 있습니다. 이는 테넌트 간 데이터 노출, 수정 또는 파괴로 이어질 수 있습니다. 또한 공격자는 다른 테넌트의 리소스를 사용하여 유료 데이터 소스를 쿼리함으로써 비용 남용을 유발할 수 있습니다. 이 취약점은 조직 간 데이터 격리를 위반합니다.안타깝게도 Lowcoder는 이 문제에 대한 수정을 조율하기 위해 연락이 닿지 않았습니다. 관리자는 영향을 받은 API 엔드포인트에 대한 접근을 제한하고 신뢰할 수 있는 사용자에게만 애플리케이션 접근을 허용하는 것이 좋습니다. 관리자 및 개발자 역할 할당을 검토하는 것도 권장됩니다. 멀티 테넌트 배포의 경우, 테넌트를 별도의 인스턴스로 격리하면 더 광범위한 보호를 제공합니다. 소스 코드 수정이 가능하다면, 이러한 API 호출에 대한 조직 수준의 권한 검사를 구현하는 것이 중요합니다.