Existe uma vulnerabilidade de injeção de SQL no Servidor Metastore do Hive (HMS) ao processar solicitações de exclusão de estatísticas de colunas por meio das APIs Thrift. Esta vulnerabilidade só pode ser explorada por usuários autorizados ou aplicativos permitidos a chamar diretamente as APIs Thrift. Em implantações típicas, o acesso ao HMS é limitado a um pequeno número de aplicativos, o que reduz o risco de exploração. O código vulnerável não é alcançável quando a propriedade `metastore.try.direct.sql` está definida como false. A vulnerabilidade envolve o processamento de solicitações através dos seguintes:
**Endpoints da API**: APIs Thrift
**Parâmetros ou Variáveis Vulneráveis**: Solicitações para excluir estatísticas de colunas.