Injection SQL dans Snowflake Connector for Python via write_pandas()

Veille sécuritéBackend & données

P3Élevée

Une injection SQL pouvait se produire dans `write_pandas()` lorsque l’échappement des identifiants était désactivé par une configuration non standard et que des noms de colonnes contrôlés par un attaquant étaient transmis. Selon le rôle Snowflake de l’application, les requêtes ajoutées pouvaient permettre de lire, modifier ou supprimer des données ; mettre à niveau manuellement vers une version corrigée.

IdentifiantCVE-2026-123859

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifSnowflake Connector for Python 4.8.1; Snowflake Connector for Python (Universal Core) 5.2.0

Source : NVD — CVE-2026-123859

Analyse technique

Le défaut concernait la génération SQL par `write_pandas()` dans les deux connecteurs lorsque l’échappement des identifiants était désactivé. L’exploitation nécessitait que l’application transmette des noms de colonnes contrôlés par l’attaquant.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-06 à 17:17:25.323Z, soit le 2026-11-06 à 19:17:25.323+02:00, dans la période. L’avis décrit une vulnérabilité et ses versions corrigées ; il ne s’agit pas d’une simple modification administrative.

ImpactSelon les droits du rôle Snowflake utilisé par l’application, un attaquant pouvant fournir des noms de colonnes pourrait lire, modifier ou supprimer les données accessibles à ce rôle.

Version corrigéeSnowflake Connector for Python 4.8.1; Snowflake Connector for Python (Universal Core) 5.2.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

Publication2026-11-06T19:17:25.323+02:00

Mise à jour2026-11-06T23:15:29.947+02:00

Action recommandée

Mettre à niveau Snowflake Connector for Python vers 4.8.1 ou ultérieur, et Snowflake Connector for Python (Universal Core) vers 5.2.0 ou ultérieur.

Sources

NVD — CVE-2026-123859

Priorisation DFS : P3 · 1 source(s).