Lowcoder 2.4.10 版本在其查询库（Query Library）功能的 API 中存在授权绕过漏洞。该缺陷允许拥有管理员或开发者角色的认证用户访问多租户实例中其他组织的私有查询数据。用于元数据检索和查询执行的易受攻击 API 端点未能检查所请求的资源是否属于用户所属的组织。虽然存在基于角色的访问控制，但其仅验证用户自身组织的角色。任何组织中拥有管理员或开发者权限的攻击者均可查看其他组织库查询的完整 DSL。此外，攻击者还可在实例上执行任何库查询，并直接从受影响组织的后端获取数据。这可能导致跨租户的数据泄露、篡改或销毁。此外，攻击者可能利用其他租户的资源查询付费数据源，从而造成成本滥用。该漏洞破坏了组织间的数据隔离。遗憾的是，目前无法联系 Lowcoder 协调对此问题的修复。建议管理员限制对受影响 API 端点的访问，并将应用访问权限限制为可信用户。同时，建议审查管理员和开发者角色的分配情况。对于多租户部署，将租户隔离到独立实例可提供更广泛的保护。如果具备修改源代码的条件，则为这些 API 调用实施组织级别的授权检查至关重要。