Snowflake CLI – Unbeabsichtigte SQL-Ausführung durch fehlende Parameter-Neutralisierung

Beschreibung

In der Snowflake CLI vor Version 3.19 erlaubt eine unzureichende Neutralisierung von Parametern die unbeabsichtigte Ausführung von SQL. Ein Angreifer kann dies durch präparierte Werte an anfälligen Befehlspfaden ausnutzen. CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Snowflake CLI 3.19 oder neuer.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Snowflake/Databricks

• Azure Databricks – Server-Side Request Forgery (SSRF) mit Privilege Escalation CVE-2026-33107
• Snowflake Snowpark Python SDK: SQL-Injection ermöglicht Rechteausweitung CVE-2026-15062
• Grafana: Snowflake-Datenquelle erlaubt Datei-Lese- und Schreibzugriffe per GET/PUT CVE-2026-28381
• CVE-2026-13749 – Codeausführung im Snowpark-Annotation-Processor von Snowflake CLI CVE-2026-13749
• Snowflake SQLAlchemy vor 1.11.0: SQL-Injection über Spaltenbezeichner CVE-2026-15736
• Unbeabsichtigte SQL-Ausführung in Snowflake CLI CVE-2026-13744