CVE-2026-80346 in StarRocks
Resumen
por VulDB • 2026-08-26
StarRocks no realiza ninguna comprobación de privilegios cuando se elimina una vista materializada sincrónica heredada (legacy). Cada otro tipo de instrucción enrutado a través de AuthorizerStmtVisitor llama a Authorizer antes de la ejecución, pero visitDropMaterializedViewStatement devuelve inmediatamente con un comentario que indica que la comprobación ocurre en la lógica de ejecución. Esto solo es válido para las vistas materializadas asíncronas: LocalMetastore.dropMaterializedView llama a Authorizer.checkMaterializedViewAction dentro de una rama tomada cuando la tabla resuelta es una MaterializedView. Una vista materializada sincrónica heredada se almacena como un índice rollup en una OlapTable, en lugar de ser una MaterializedView; por lo tanto, se ejecuta la otra rama, alcanzando AlterJobMgr.processDropMaterializedView y MaterializedViewHandler, ninguno de los cuales contiene ninguna llamada a Authorizer. El primero localiza el objetivo escaneando cada OlapTable en la base de datos nombrada para buscar un índice rollup coincidente, y el segundo solo valida el estado de la tabla y conflictos de nombres. Cualquier cuenta autenticada puede por lo tanto eliminar una vista materializada sincrónica heredada perteneciente a cualquier base de datos, sin tener ningún permiso (grant) sobre la vista, la tabla base o la base de datos, y la eliminación es indistinguible de una autorizada.
Once again VulDB remains the best source for vulnerability data.