Cyber ·
CVE-2026-73322: Apache Pinot permite consultar tabelas de dimensão não autorizadas
Aviso de gravidade moderada: com o controle de acesso do broker ativado, a função lookup() do Apache Pinot pode ler tabelas de dimensão não autorizadas. Afeta as versões 0.7.0 até anteriores à 1.6.0.
O aviso CVE-2026-73322, publicado na lista oss-sec em 30 de outubro de 2026, descreve uma falha de autorização incorreta no Apache Pinot, classificada como moderada. Segundo o texto, são afetadas as versões a partir de 0.7.0 até as anteriores à 1.6.0. O mecanismo de consulta de estágio único autoriza apenas a tabela indicada na cláusula FROM. Porém, a função de transformação lookup() identifica sua tabela de dimensão por meio de um argumento literal de string, e não pela cláusula FROM. Assim, quando o controle de acesso do broker está ativado, a função pode permitir a leitura de tabelas de dimensão não autorizadas. O trecho disponível não detalha a correção nem medidas de mitigação. Para confirmar esses pontos, consulte o aviso original e as notas de versão do projeto, e compare a versão instalada do Pinot com a faixa afetada.