Обзор
В ходе проведения регулярных имитаций атак (red teaming) с помощью сервиса Vector Command компании Rapid7 была обнаружена CVE-2026-108065, уязвимость SQL-инъекции (CWE-89) в Channel Software WebAlliance eCommerce. Эксплойт позволяет злоумышленнику читать конфиденциальные данные из базы данных или, если у пользователя базы данных есть высокие привилегии, выполнять системные команды на сервере базы данных. Уязвимость имеет оценку CVSSv3.1 9.8 (критическая).
Описание продукта
WebAlliance eCommerce от Channel Software — это универсальная B2B-платформа для электронной коммерции, цифровых каталогов и клиентских порталов, созданная специально для оптовых дистрибьюторов и промышленных производителей.
Влияние
Эксплойт SQL-инъекции может быть использован для просмотра конфиденциальной информации в базе данных, такой как персональные данные пользователей (PII) и пароли. Если выполнен вход с правами администратора БД, уязвимость может быть использована для выполнения системных команд на сервере, где запущена база данных.
Благодарности
Эта уязвимость была обнаружена Маркусом Чангом (Marcus Chang), консультантом по безопасности в Rapid7, и раскрывается в соответствии с политикой Rapid7 в отношении раскрытия уязвимостей.
CVE-2026-108065 — Неаутентифицированная SQL-инъекция
Технические детали
Компания Rapid7 проэксплуатировала уязвимость во время черного ящика тестирования и не смогла выполнить анализ первопричин. Параметр sUserID в методе GetUser в SOAP-запросе к /preapproval.asmx некорректно экранирует предоставленные пользователем данные sUserID. SQL-запрос может быть экранирован путем вставки одинарной кавычки в параметр. База данных работает под управлением Microsoft SQL Server, который поддерживает пакетные запросы (stacked queries). Запрос можно экранировать с помощью ( ‘; ), чтобы внедрить совершенно новые SQL-команды.
Если вставлена одинарная кавычка, SQL-сервер не сможет разобрать запрос и вернет синтаксическую ошибку в HTTP-ответе:
Информацию можно извлечь с помощью полезных нагрузок SQL-инъекций на основе времени. Например, можно внедрить запрос, заставляющий базу данных приостановить работу на 2 секунды, если пользователь базы данных является системным администратором:
Если пользователь базы данных является системным администратором (sysadmin), для загрузки файла можно использовать SQL Ole Automation.
Если база данных работает на том же сервере, что и веб-приложение, можно загружать файлы ASPX. Впоследствии их можно открывать в браузере для выполнения их кода и запуска системных команд на сервере.
Пример доказательства концепции (PoC):
Пример с использованием Curl:
Заблокируйте доступ к /preapproval.asmx.
Хронология раскрытия
- 13 июля 2026 г.: Проблема обнаружена Маркусом Чангом, и об эксплуатации сообщено клиенту Vector Command.
13 июля 2026 г.: Проблема обнаружена Маркусом Чангом, и об эксплуатации сообщено клиенту Vector Command.
- 28 августа 2026 г.: Первый контакт с Channel Software.
28 августа 2026 г.: Первый контакт с Channel Software.
- 8, 15 и 29 сентября 2026 г.: В адрес Channel Software отправлены повторные электронные письма для подтверждения первоначального контакта и предоставления информации о правильном канале для передачи сведений об уязвимости.
8, 15 и 29 сентября 2026 г.: В адрес Channel Software отправлены повторные электронные письма для подтверждения первоначального контакта и предоставления информации о правильном канале для передачи сведений об уязвимости.
- 9 октября 2026 г.: В адрес Channel Software отправлено повторное письмо с уведомлением о публичном раскрытии информации 14 октября и назначении CVE, а также с запросом комментария от вендора. Компания Rapid7 не получила ответа от Channel Software.
9 октября 2026 г.: В адрес Channel Software отправлено повторное письмо с уведомлением о публичном раскрытии информации 14 октября и назначении CVE, а также с запросом комментария от вендора. Компания Rapid7 не получила ответа от Channel Software.
- 14 октября 2026 г.: Публичное раскрытие информации посредством публикации этой записи в блоге.
14 октября 2026 г.: Публичное раскрытие информации посредством публикации этой записи в блоге.
