CVE-2026-119301
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 3.5.2 à 3.17.0 d'AWS SDK for pandas (également connu sous le nom d'awswrangler) sont concernées. Cette bibliothèque est utilisée pour intégrer des dataframes pandas aux services AWS, plus précisément via le composant d'écriture Apache Iceberg. La faille provient d'une mauvaise gestion de la syntaxe de citation lors de la construction d'identifiants SQL, ce qui permet à un utilisateur d'injecter des commandes malveillantes via un nom de colonne manipulé.
Un attaquant peut utiliser cette vulnérabilité pour lire des tables auxquelles il ne devrait pas avoir accès ou modifier des données dans des tables gérées par un utilisateur disposant de privilèges plus élevés. L'exploitation nécessite un accès réseau, une authentification de bas niveau et la permission spécifique de modifier les métadonnées du catalogue de données AWS Glue. Bien que la difficulté technique soit faible, l'attaquant doit être en mesure de convaincre un principal disposant de privilèges supérieurs d'interagir avec la table manipulée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper neutralization of quoting syntax in SQL identifier construction in the Apache Iceberg write component in AWS SDK for pandas (also published as awswrangler) 3.5.2 through 3.17.0 might allow an authenticated remote user with permission to modify AWS Glue Data Catalog metadata to read any table that a separate, more privileged principal can access and write to the table that principal is updating via a crafted column name. To remediate this issue, users should upgrade to version 3.17.1 or later.