CVE-2026-16753

Nome do Software Vulnerável e Versões Afetadas Lowcoder versões anteriores a 2.4.11

Description Existe uma falha de bypass de autorização na API LibraryQuery, na camada de serviço, onde as verificações de escopo de organização não são aplicadas. Isso permite que um usuário autenticado com função de administrador ou desenvolvedor execute consultas de biblioteca ou recupere metadados pertencentes a outra organização por meio de uma requisição manipulada contendo o identificador da consulta da vítima. Este problema pode levar à exfiltração de dados entre locatários, incluindo consultas armazenadas, fontes de dados e, potencialmente, credenciais incorporadas. A falha é particularmente impactante se LOWCODER EMAIL SIGNUP ENABLED estiver definido como true, pois isso concede as funções necessárias por padrão a contas de auto-cadastro.

Recommendations Atualize para uma versão posterior à 2.4.10. Desative LOWCODER EMAIL SIGNUP ENABLED ou implemente fluxos de aprovação manual para novas contas. Audite os logs em busca de chamadas da API LibraryQuery originadas de IDs de organização inesperados.