Snowflake CLI – Unbeabsichtigte SQL-Ausführung durch fehlende Parameter-Neutralisierung

Beschreibung

In der Snowflake CLI vor Version 3.19 erlaubt eine unzureichende Neutralisierung von Parametern die unbeabsichtigte Ausführung von SQL. Ein Angreifer kann dies durch präparierte Werte an anfälligen Befehlspfaden ausnutzen. CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Snowflake CLI 3.19 oder neuer.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Snowflake/Databricks

• Azure Databricks – Server-Side Request Forgery (SSRF) mit Privilege Escalation CVE-2026-33107
• Apache Airflow Snowflake Provider – SQL-Injection über Tabellen- und Stage-Parameter CVE-2025-50213
• Snowflake Snowpark Python SDK: SQL-Injection ermöglicht Rechteausweitung CVE-2026-15062
• Grafana: Snowflake-Datenquelle erlaubt Datei-Lese- und Schreibzugriffe per GET/PUT CVE-2026-28381
• Snowflake libsnowflakeclient – Remote Code Execution und Credential-Exfiltration CVE-2026-16870
• CVE-2026-13749 – Codeausführung im Snowpark-Annotation-Processor von Snowflake CLI CVE-2026-13749