CVE-2026-13744

SQL Injection w Snowflake CLI — niezamierzone wykonanie SQL przez złośliwe dane wejściowe

CVSS 8.3v3.1pub. 2026-06-29upd. 2026-06-30

Podatność typu SQL injection w Snowflake CLI wersjach poprzedzających 3.19 umożliwia atakującemu wywołanie niezamierzonego wykonania poleceń SQL w kontekście sesji ofiary. Zagrożenie dotyczy sytuacji, gdy użytkownik przetwarza spreparowane dane zewnętrzne za pośrednictwem podatnej ścieżki polecenia CLI.

▸ Pokaż oryginał (EN)

Improper neutralization of attacker-controlled content in Snowflake CLI versions prior to 3.19 allowed unintended SQL execution. By supplying crafted repository content, project configuration, manifest data, or specification input, an attacker could cause Snowflake CLI to execute unintended SQL in the context of the victim user's Snowflake session. Successful exploitation requires the victim to process attacker-controlled content through a vulnerable command path and is limited by the privileges assigned to that session. The fix is available in Snowflake CLI version 3.19. Users must manually upgrade.

🤖 Analiza AI

Jak działa

Atak polega na dostarczeniu ofierze złośliwie spreparowanych danych — mogą to być zawartość repozytorium, konfiguracja projektu, dane manifestu lub dane wejściowe specyfikacji. Snowflake CLI nie neutralizuje prawidłowo kontrolowanych przez atakującego treści przed ich użyciem w zapytaniach SQL (CWE-89). W wyniku tego spreparowane dane są interpretowane jako polecenia SQL i wykonywane w kontekście sesji Snowflake ofiary. Warunkiem skutecznego ataku jest skłonienie ofiary do przetworzenia złośliwej treści przez podatną komendę CLI.

Skutki

Atakujący może doprowadzić do niezamierzonego wykonania dowolnych poleceń SQL w kontekście sesji Snowflake ofiary, co — w zależności od uprawnień tej sesji — może skutkować nieautoryzowanym odczytem, modyfikacją lub usunięciem danych w środowisku Snowflake.

Mitygacja

Należy zaktualizować Snowflake CLI do wersji 3.19 lub nowszej. Aktualizacja nie jest automatyczna — użytkownicy muszą ręcznie przeprowadzić uaktualnienie. Szczegółowe instrukcje dostępne są w referencjach producenta: https://community.snowflake.com/s/article/Snowflake-CLI-Vulnerability-Advisory

Kogo dotyczy

Snowflake CLI w wersjach wcześniejszych niż 3.19

Uwagi

Eksploatacja wymaga interakcji użytkownika (UI:R) oraz spełnienia warunku wysokiej złożoności ataku (AC:H) — ofiara musi samodzielnie przetworzyć dostarczoną przez atakującego złośliwą treść. Zakres potencjalnych szkód jest ograniczony uprawnieniami przypisanymi do sesji Snowflake ofiary.