CVE-2026-80346

Köhnə sinxron materiallaşdırılmış görünüş (materialized view) silindikdə StarRocks heç bir imtiyaz yoxlaması aparmır. AuthorizerStmtVisitor vasitəsilə yönləndirilən digər bütün ifadə növləri icradan əvvəl Authorizer-i çağırır, lakin visitDropMaterializedViewStatement funksiyası yoxlamanın icra məntiqində baş verdiyini bildirən şərhlə dərhal geri dönür. Bu, yalnız asinxron materiallaşdırılmış görünüşlər üçün keçərlidir: LocalMetastore.dropMaterializedView, həll edilmiş cədvəl MaterializedView olduqda seçilən budaq daxilində Authorizer.checkMaterializedViewAction-ı çağırır. Köhnə sinxron materiallaşdırılmış görünüş MaterializedView kimi deyil, OlapTable üzərində rollup indeksi kimi saxlanılır, buna görə də digər budaq işə düşərək AlterJobMgr.processDropMaterializedView və MaterializedViewHandler-ə çatır ki, bunların heç biri Authorizer çağırışını ehtiva etmir. Birincisi, hədəfi adlandırılmış verilənlər bazasındakı hər bir OlapTable-da uyğun rollup indeksini skan edərək tapır, ikincisi isə yalnız cədvəl vəziyyətini və ad konfliktlərini yoxlayır. Buna görə də, autentifikasiya olunmuş istənilən hesab, görünüş, baza cədvəli və ya verilənlər bazası üzərində heç bir icazəsi olmasa belə, istənilən verilənlər bazasına aid köhnə sinxron materiallaşdırılmış görünüşü silə bilər və bu silmə əməliyyatı səlahiyyətli olanlardan fərqlənmir.