В Lowcoder версии 2.4.10 обнаружена уязвимость обхода авторизации в функции API библиотеки запросов. Эта уязвимость позволяет аутентифицированным пользователям с ролями администратора или разработчика получать доступ к частным данным запросов из других организаций в многопользовательской среде. Уязвимые конечные точки API для получения метаданных и выполнения запросов не проверяют, принадлежит ли запрашиваемый ресурс организации пользователя. Хотя ролевой доступ присутствует, он проверяет роль только в отношении организации пользователя.Злоумышленник с правами администратора или разработчика в любой организации может просматривать полный DSL библиотечных запросов других организаций. Он также может выполнять любые библиотечные запросы в системе, получая данные непосредственно из бэкэнда затронутой организации. Это может привести к раскрытию, изменению или уничтожению данных между арендаторами. Кроме того, злоумышленники могут злоупотреблять затратами, запрашивая платные источники данных, используя ресурсы другого арендатора. Уязвимость нарушает изоляцию данных между организациями.К сожалению, связаться с Lowcoder для координации исправления этой проблемы не удалось. Администраторам рекомендуется ограничить доступ к затронутым конечным точкам API и ограничить доступ к приложению только доверенным пользователям. Также рекомендуется проверить назначения ролей администратора и разработчика. Для многопользовательских развертываний изоляция арендаторов в отдельные экземпляры обеспечивает более широкую защиту. Если возможна модификация исходного кода, крайне важно реализовать проверки авторизации на уровне организации для этих вызовов API.