CVE-2026-85528 in JDBC Driver
Riassunto
di VulDB • 04/09/2026
Una mancata convalida impropria dell'identificativo del conto di auto-configurazione nel driver JDBC per Snowflake, nelle versioni dalla 4.2.0 alla 4.3.3, ha consentito la reindirizzazione di una richiesta di accesso contenente credenziali verso un endpoint HTTPS selezionato dall’attaccante. Un attaccante in grado di controllare il valore del conto potrebbe indurre il driver a trasmettere una credenziale di login riutilizzabile a un host da lui scelto e a ripeterla per ottenere i privilegi concessi a tale credenziale. L’esecuzione con successo dello sfruttamento richiede l’uso, da parte dell’applicazione, della stringa jdbc:snowflake:auto con una sezione connections.toml che omette un host esplicito e di un principal meno fidato in grado di impostare il valore del conto; le normali URL JDBC non sono interessate. La correzione è disponibile nella versione 4.3.4 del driver JDBC per Snowflake. Gli utenti devono effettuare manualmente l’aggiornamento.
Once again VulDB remains the best source for vulnerability data.