CVE-2026-123859 Inyección SQL vía nombres de columnas de DataFrame sin escapar en Snowflake Connector for Python
Cuando el escapado de identificadores está deshabilitado mediante una configuración no predeterminada, la función write_pandas() de Snowflake Connector for Python y Snowflake Connector for Python (Universal Core) no escapaba los nombres de columnas de DataFrame antes de incluirlos en el SQL generado, lo que podía permitir una inyección SQL. Un nombre de columna manipulado podía encadenar sentencias SQL adicionales y permitir leer, modificar o eliminar otros datos accesibles al rol de Snowflake de la aplicación…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 31
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Snowflake Snowflake Connector for Python
desde 2.3.4 hasta antes de 4.8.1
Snowflake Snowflake Connector for Python (Universal Core)
desde 5.0.0b1 hasta antes de 5.2.0
Qué hacer
- Verificá si usás Snowflake Connector for Python y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.1 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
When identifier escaping is disabled through a non-default configuration, the write_pandas() data-loading functionality in the Snowflake Connector for Python and the Snowflake Connector for Python (Universal Core) did not escape DataFrame column names before including them in generated SQL, which could allow SQL injection. In both products, a crafted column name could have been used to chain additional SQL statements onto the generated statement, potentially allowing an attacker to read, modify, or delete other data accessible to the application's Snowflake role. Exploitation required an application to pass attacker controlled column names into this functionality. The fix is available in Snowflake Connector for Python version 4.8.1 and Snowflake Connector for Python (Universal Core) version 5.2.0. Users must upgrade manually.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.