CVE-2026-6442
Publiée le 2026-04-16 · Dernière modification le 2026-10-25
Les versions de Snowflake Cortex Code CLI antérieures à la 1.0.25 sont vulnérables à une injection de commandes permettant l'exécution de code en dehors du bac à sable (sandbox) prévu. Un attaquant peut exécuter des commandes arbitraires sur votre appareil local en vous incitant à interagir avec un contenu malveillant, tel qu'un dépôt compromis. Bien que cela nécessite l'interaction de l'utilisateur et soit difficile à exécuter de manière systématique en raison de sa dépendance à des modèles d'IA spécifiques, l'attaque peut être déclenchée via le réseau sans authentification préalable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper validation of bash commands in Snowflake Cortex Code CLI versions prior to 1.0.25 allowed subsequent commands to execute outside the sandbox. An attacker could exploit this by embedding specially crafted commands in untrusted content, such as a malicious repository, causing the CLI agent to execute arbitrary code on the local device without user consent. Exploitation is non-deterministic and model-dependent. The fix is automatically applied upon relaunch with no user action required.