CVE-2026-15736

Nome do Software Vulnerável e Versões Afetadas Snowflake SQLAlchemy versões anteriores a 1.11.0

Description Múltiplos problemas de segurança existem na biblioteca. O manuseio inadequado de identificadores de coluna fornecidos pelo usuário durante operações de merge permite a injeção de SQL via chaves de entrada controladas por um invasor, o que pode ser explorado através de nomes de campos de requisição em um endpoint de upsert dinâmico para ler dados ou modificar valores dentro de uma instrução MERGE. Além disso, a renderização inadequada de literais de parâmetros vinculados em consultas específicas de criação de tabela do Snowflake permite a injeção de SQL, podendo levar à exfiltração arbitrária de dados quando dados controlados pelo usuário são passados através da API de construção de consultas. Adicionalmente, o encaminhamento inadequado de parâmetros de configuração de conexão pode permitir que um invasor force a biblioteca a ler arquivos locais arbitrários e transmitir o conteúdo para um endpoint externo em ambientes que aceitam parâmetros de conexão controlados pelo usuário.

Recommendations Atualizar para a versão 1.11.0.