org.apache.polaris:polaris-runtime-service: Missing Authorization (CVE-2026-42809)

Apache Polaris kann während der Erstellung einer gestuften Tabelle breite temporäre ("verkaufte") Speicherberechtigungen ausstellen, bevor sichergestellt ist, dass der effektive Tabellenstandort validiert oder dauerhaft reserviert wurde. Diese temporären Berechtigungen sollen den Zugriff auf die Tabellendaten und -metadaten einschränken, aber diese Einschränkung wird angreifergerichtet, da der Angreifer einen erreichbaren Zielstandort wählen kann. In der bestätigten Variante verwendet Apache Polaris bei einer gestuften Erstellung den vom Aufrufer bereitgestellten benutzerdefinierten `location`, um sofort delegierte Speicherberechtigungen zu erstellen, wenn Berechtigungsausgabe angefordert wird. Der Pfad der gestuften Erstellung führt weder die normale Standortvalidierung noch die Überlappungsprüfungen durch, bevor diese Berechtigungen ausgestellt werden. Eng damit verbunden akzeptiert auch der gestufte-Erstellungsfluss `write.data.path` / `write.metadata.path` in den Anforderungseigenschaften und leitet diese Standortüberschreibungen in die gleiche effektive Tabellenstandortmenge ein, die für die Berechtigungsausgabe verwendet wird. Diese Felder sind sekundär zum Hauptangriff mit benutzerdefiniertem `location`, aber sie sind dennoch von Angreifern beeinflusste Standorteingaben, die vor der Ausstellung jeglicher Berechtigungen validiert werden sollten.