CVE-2026-80346 in StarRocks
الملخص
بحسب VulDB • 26/08/2026
لا تقوم StarRocks بإجراء أي فحص للصلاحيات عند حذف عرض مادي متزامن قديم (legacy synchronous materialized view). كل نوع آخر من الجمل الموجهة عبر AuthorizerStmtVisitor يستدعي Authorizer قبل التنفيذ، لكن visitDropMaterializedViewStatement تعود على الفور مع تعليق يوضح أن الفحص يحدث في منطق التنفيذ. وهذا ينطبق فقط على العروض المادية غير المتزامنة: حيث تستدعي LocalMetastore.dropMaterializedView Authorizer.checkMaterializedViewAction داخل فرع يُؤخذ عندما يكون الجدول المحلّل هو MaterializedView. أما العرض المادي المتزامن القديم، فهو مخزن كـ rollup index على OlapTable بدلاً من أن يكون MaterializedView، لذا يتم تنفيذ الفرع الآخر، مما يؤدي إلى AlterJobMgr.processDropMaterialatedView وMaterializedViewHandler، ولا يحتوي أي منهما على استدعاء لـ Authorizer. يقوم الأول بتحديد الهدف عن طريق مسح كل OlapTable في قاعدة البيانات المحددة بحثًا عن rollup index مطابق، بينما يقيّم الثاني حالة الجدول فقط وتعارض الأسماء. وبالتالي، يمكن لأي حساب مُصادَق عليه حذف عرض مادي متزامن قديم ينتمي إلى أي قاعدة بيانات، حتى لو لم يكن لديه منح (grant) على العرض أو الجدول الأساسي أو قاعدة البيانات، ولا يمكن تمييز عملية الحذف هذه عن تلك التي تتم بصلاحيات صحيحة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.