Snowflake Connector for Python : interférence possible avec le rappel SSO externalbrowser

Veille sécuritéBackend & données

P4Moyenne

Le 4 novembre 2026, Snowflake a publié un avis concernant une faiblesse du flux SSO `externalbrowser` : pendant une connexion active, un attaquant pouvant atteindre le service local de rappel pouvait interférer avec la réponse d’authentification. Pour le connecteur Python, la version corrigée est 4.8.0 ; les utilisateurs doivent mettre à niveau manuellement.

IdentifiantCVE-2026-114456

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifSnowflake Connector for Python 4.8.0

Source : NVD — CVE-2026-114456

Analyse technique

Le listener local de retour SSO reflétait l’en-tête Origin dans les réponses CORS et acceptait la première requête contenant un jeton sans vérifier un état CSRF associé à la tentative de connexion.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une publication le 2026-11-04 à 12:17:06Z, soit 2026-11-04T14:17:06+02:00, dans la période demandée. L’avis concerne plusieurs pilotes Snowflake ; cet item ne retient que les informations établies pour le connecteur Python.

ImpactUne tentative de connexion SSO peut être perturbée par une réponse de rappel forgée ; les éléments fournis ne démontrent pas une prise de contrôle du compte.

Versions affectéesSnowflake Connector for Python : versions antérieures à 4.8.0

Version corrigéeSnowflake Connector for Python 4.8.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

Publication2026-11-04T14:17:06Z

Mise à jour2026-11-04T20:19:01Z

Détection / vérification

Vérifier la version de Snowflake Connector for Python utilisée et la mettre à niveau vers 4.8.0 ou une version ultérieure.

Action recommandée

Mettre à niveau le Snowflake Connector for Python vers la version 4.8.0 ou ultérieure.

Sources

NVD — CVE-2026-114456

Priorisation DFS : P4 · 1 source(s).