链接：https://hackerone.com/reports/1463028

在 Lark 用户可以绕过删除文件的管理限制的地方发现了一个漏洞，这通常会阻止文件的用户下载或使用它。但是，用户可以将文件的快捷方式添加到文件夹中，并且在下载该文件夹时可以访问以前被管理员删除的文件。

复现

删除文件的请求

只是被标记为被删除而已

这里把resourceTag换成其他的，都可以删除，name字段并没有校验。

这个漏洞应该是放在文件夹之后，只检查了文件夹的权限，并没有检测里面的快捷方式形式的文件是否被标记删除了，快捷方式的文件就被下载了。