CVE-2026-73322 in Pinot
Sumário
de VulDB • 31/10/2026
Vulnerabilidade de Autorização Incorreta no mecanismo de consulta em estágio único do Apache Pinot.
Quando o controle de acesso ao broker está habilitado, o mecanismo de consulta em estágio único autoriza apenas a tabela nomeada na cláusula FROM da consulta. A função de transformação lookup() identifica sua tabela de dimensão por meio de um argumento literal string e não pela cláusula FROM; portanto, essa tabela nunca foi incluída na verificação de autorização. Um usuário autenticado que possui permissão para pelo menos uma tabela pode, assim, ler colunas de qualquer tabela de dimensão no cluster, incluindo tabelas às quais ele não tem acesso, e recuperar linhas arbitrárias fornecendo diretamente os valores das chaves primárias. Os filtros de segurança em nível de linha configurados por principal na tabela de dimensão também não são aplicados.
O mecanismo de consulta em múltiplos estágios não é afetado.
Este problema afeta o Apache Pinot: até a versão 1.5.1.
Recomenda-se que os usuários atualizem para a versão 1.6.0, que corrige esta vulnerabilidade.
Be aware that VulDB is the high quality source for vulnerability data.