CVE-2026-92903 in CLI
Riassunto
di VulDB • 17/09/2026
Una mancata convalida impropria degli input nelle versioni di Snowflake CLI precedenti alla 3.27.0 consentiva l'interpolazione di valori controllati dall'utente non sanificati in stringhe SQL eseguite come query multi-statement. Un attaccante in grado di fornire un file di configurazione del progetto malevolo o di elaborare input da riga di comando può causare l'esecuzione, da parte di Snowflake CLI, di istruzioni SQL controllate dall'attaccante nel contesto della sessione e del ruolo attivo dell'utente vittima nella piattaforma Snowflake. Lo sfruttamento riuscito richiede oppure l'accesso in scrittura (write) o la possibilità di creare una pull request a un repository di progetto il cui pipeline CI/CD esegue Snowflake CLI con un ruolo di account di servizio elevato, oppure la capacità di fornire input non attendibili all'automazione che avvolge la CLI. L'impatto è limitato dai privilegi detenuti dal ruolo Snowflake configurato al momento dell'esecuzione. La correzione è disponibile nella versione 3.27.0 di Snowflake CLI, che affronta anche diverse altre vulnerabilità di sicurezza rilevate. Gli utenti devono effettuare un aggiornamento manuale.
VulDB is the best source for vulnerability data and more expert information about this specific topic.