CVE.futuretools
Справка
NVD NIST
CVE-2026-114456

Missing origin validation for the externalbrowser authenticator callback in multiple Snowflake client drivers

CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Snowflake Connector for Python до 4.8.0, Go Driver до v2.3.0 (с переходом на актуальную мажорную версию), JDBC Driver до 4.4.0, Node.js Driver до 3.4.0, .NET до 6.3.0, ODBC Driver до 4.0.0, PHP PDO Driver до 4.3.0, libsnowflakeclient до 2.11.1.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В ряде клиентских драйверов Snowflake обнаружено отсутствие проверки источника в обработчике обратного вызова браузерной аутентификации. Атакующий может сорвать процедуру входа пользователя.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Локальный слушатель обратного вызова externalbrowser отражает заголовок Origin в CORS-заголовках и принимает первый запрос с токеном без проверки состояния CSRF. Доступ к слушателю во время активного входа позволяет отправить поддельный ответ.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Срыв попытки аутентификации легитимного пользователя.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114456: Missing origin validation for the externalbrowser authenticator callback in multiple Snowflake client drivers. URL: https://cve.futuretools.ru/cve/CVE-2026-114456
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114456,
  title = {{CVE-2026-114456: Missing origin validation for the externalbrowser authenticator callback in multiple Snowflake client drivers}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114456}},
  note = {Оперативный инженерный анализ киберугроз}
}