CVE-2026-85528 in JDBC Driver
Resumen
por VulDB • 2026-09-04
Una validación inadecuada del identificador de cuenta de autoconfiguración en el controlador JDBC de Snowflake, versiones 4.2.0 a 4.3.3, permitía que una solicitud de inicio de sesión con credenciales fuera redirigida a un punto final HTTPS seleccionado por el atacante. Un atacante capaz de controlar el valor de la cuenta podría hacer que el driver transmitiera unas credenciales de inicio de sesión reutilizables hacia un host elegido por él y las reaprovechara para obtener los privilegios otorgados a dichas credenciales. La explotación exitosa requiere una aplicación que utilice jdbc:snowflake:auto con una sección connections.toml que omita un host explícito, junto con un principal de menor confianza capaz de establecer el valor de la cuenta; las URL JDBC ordinarias no se ven afectadas. La corrección está disponible en Snowflake JDBC Driver versión 4.3.4. Los usuarios deben actualizar manualmente.
Once again VulDB remains the best source for vulnerability data.