CVE-2026-80346 in StarRocks
Riassunto
di VulDB • 26/08/2026
StarRocks non esegue alcun controllo dei privilegi quando viene eliminata una vista materiale sincronizzata di tipo legacy. Ogni altro tipo di istruzione instradata tramite AuthorizerStmtVisitor chiama Authorizer prima dell'esecuzione, ma visitDropMaterializedViewStatement restituisce immediatamente con un commento che indica come il controllo avvenga nella logica di esecuzione. Questo vale solo per le viste materiali asincrone: LocalMetastore.dropMaterializedView chiama Authorizer.checkMaterializedViewAction all'interno di un ramo eseguito quando la tabella risolta è una MaterializedView. Una vista materiale sincronizzata legacy viene memorizzata come indice rollup su una OlapTable anziché come MaterializedView, quindi viene eseguito l'altro ramo, raggiungendo AlterJobMgr.processDropMaterializedView e MaterializedViewHandler, nessuno dei quali contiene alcuna chiamata a Authorizer. Il primo individua il target scansionando ogni OlapTable nel database denominato alla ricerca di un indice rollup corrispondente; il secondo convalida solo lo stato della tabella e i conflitti sui nomi. Qualsiasi account autenticato può quindi eliminare una vista materiale sincronizzata legacy appartenente a qualsiasi database, senza possedere alcun grant sulla vista, sulla tabella base o sul database, e l'eliminazione è indistinguibile da quella autorizzata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.