SQL-инъекция в WebAlliance eCommerce даёт root без пароля

SQL-инъекция в WebAlliance eCommerce позволяет получить root-доступ

Rapid7 обнаружила уязвимость CVE-2026-108065 в продукте WebAlliance eCommerce. Это SQL-инъекция (CWE-89) с критическим рейтингом CVSSv3.1 9.8. Атакующий может читать конфиденциальные данные из базы данных. При наличии высоких привилегий у пользователя базы данных злоумышленник способен выполнять системные команды на сервере. Уязвимость была обнаружена в ходе тестирования методом черного ящика, полный анализ первопричины не проводился.

WebAlliance eCommerce предоставляет B2B-платформу для дистрибьюторов и производителей

WebAlliance eCommerce от Channel Software — это комплексная платформа для B2B-электронной коммерции, цифровых каталогов и клиентских порталов. Продукт предназначен для оптовых дистрибьюторов и промышленных производителей. Платформа позволяет компаниям управлять онлайн-продажами и взаимодействием с клиентами.

Уязвимость затрагивает параметр sUserID в SOAP-запросе

Эксплуатация уязвимости CVE-2026-108065 возможна через параметр sUserID в методе GetUser SOAP-запроса к /preapproval.asmx. Некорректная обработка введенного пользователем значения sUserID позволяет обойти SQL-запрос путем вставки одинарной кавычки. База данных Microsoft SQL Server поддерживает стековые запросы, что позволяет внедрять новые команды SQL через ;. Атакующий может использовать это для получения доступа к конфиденциальной информации, такой как персональные данные пользователей и пароли. Если у пользователя базы данных есть права администратора, злоумышленник может выполнять системные команды на сервере. Это достигается путем загрузки ASPX-файлов через SQL Ole Automation, которые затем можно использовать для выполнения кода и команд на сервере.

Блокируйте доступ к /preapproval.asmx

Rapid7 рекомендует заблокировать доступ к конечной точке /preapproval.asmx для предотвращения эксплуатации уязвимости. Уязвимость была обнаружена 13 июля 2026 года. Channel Software уведомили об этом 28 августа 2026 года. Последующие попытки связаться с вендором 8, 15 и 29 сентября 2026 года не увенчались успехом. 9 октября 2026 года Rapid7 проинформировали Channel Software о предстоящем публичном раскрытии информации 14 октября и присвоении CVE, запросив официальный ответ. Компания Channel Software не предоставила ответ. Публичное раскрытие информации состоялось 14 октября 2026 года.

Коротко в карточках