CVE-2026-85528 in JDBC Driver
सारांश
द्वारा VulDB • 04/09/2026
Snowflake JDBC ड्राइवर के संस्करणों 4.2.0 से 4.3.3 तक में ऑटो-कॉन्फ़िगरेशन खाता पहचानकर्ता (auto-configuration account identifier) की अयोग्य इनपुट सत्यापन (improper input validation) ने एक क्रेडेंशियल युक्त लॉगिन अनुरोध को हमलावर द्वारा चुने गए HTTPS एंडपॉइंट पर रीडायरेक्ट करने की अनुमति दी। यदि कोई हमलावर खाता मान (account value) को नियंत्रित कर सकता है, तो वह ड्राइवर को अपने मनमाने होस्ट पर एक पुनः उपयोग योग्य लॉगिन क्रेडेंशियल भेजने और उसे उसी क्रेडेंशियल को दिए गए अधिकारों प्राप्त करने के लिए रीप्ले (replay) कर सकता है। सफल दोहन (exploitation) के लिए jdbc:snowflake:auto का उपयोग करने वाले एक ऐप्स की आवश्यकता होती है जिसमें connections.toml सेक्शन में स्पष्ट होस्ट छोड़ा गया हो और एक कम-विश्वास वाला प्रिंसिपल जो खाते के मान को सेट कर सके; साधारण JDBC URLs प्रभावित नहीं हैं। सुधार Snowflake JDBC ड्राइवर संस्करण 4.3.4 में उपलब्ध है। उपयोगकर्ताओं को मैन्युअली अपग्रेड करना होगा।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.