Lowcoder: Unzureichende Autorisierung bei der Ausführung von Bibliotheksabfragen
Zusammenfassung
Lowcoder, eine Open-Source-Low-Code-Plattform, enthält eine unzureichende Autorisierungsprüfung im Endpunkt zur Ausführung von Bibliotheksabfragen. Ein authentifizierter Administrator oder Entwickler in einer Organisation kann eine Bibliotheksabfrage einer anderen Organisation ausführen, indem er eine manipulierte Anfrage mit der Kennung der Ziel-Bibliotheksabfrage sendet. Angreifer können dadurch auf die mit diesen Abfragen verbundenen Backend-Datenquellen zugreifen, weshalb das Risiko vor allem für Bereitstellungen mit mehreren Organisationen relevant ist.
Betroffen
- Lowcoder-Versionen 2.1.0 bis und mit 2.4.10
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version gefunden.
Umgehung
- Den Zugriff auf die betroffenen Query-Library-API-Endpunkte einschränken, bis ein offizielles Sicherheitsupdate verfügbar ist
- Mandanten in getrennte Lowcoder-Instanzen isolieren
- Sofern der Quellcode angepasst werden kann, organisationsbezogene Autorisierungsprüfungen für das Abrufen der Metadaten und die Ausführung von Query-Library-Abfragen ergänzen
Ausnutzung
- Nicht als aktiv ausgenutzt gelistet
- Kein öffentlicher Proof of Concept gefunden
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Prüfen, ob die Instanz mehr als eine Organisation bedient; falls nicht, ist die Priorität tiefer
- Administrator- und Entwicklerrollen auf das nötige Minimum beschränken
- Bibliotheksabfragen mit Zugangsdaten für Backend-Datenquellen überprüfen und diese Zugangsdaten rotieren
- Protokolle auf unerwartete Ausführungen von Bibliotheksabfragen prüfen
- Das GitHub-Repository und CERT/CC VU#382143 auf eine Korrektur des Herstellers überwachen und diese zeitnah einspielen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT/CC VU#382143 www.kb.cert.org
- Lowcoder GitHub repository github.com
- OSV: CVE-2026-16753 osv.dev
- VulDB CVE-2026-16753 vuldb.com
- HOL Guard: CVE-2026-16753 hol.org
- CERT/CC VU#382143 republication (Vistanet) www.vistanetinc.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:14.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.