Channel Software WebAlliance eCommerce: Unauthentifizierte SQL-Injection
Zusammenfassung
WebAlliance eCommerce, eine B2B-E-Commerce- und Kundenportal-Plattform, enthält eine SQL-Injection in der SOAP-Methode GetUser des Endpunkts /preapproval.asmx (CVE-2026-108065, CVSS 9.8). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über den Parameter sUserID SQL-Befehle einschleusen, um Daten wie Benutzerdaten und Passwörter auszulesen und Daten zu verändern. Verfügt das Datenbankkonto über hohe Berechtigungen, kann der Angreifer zudem Systembefehle auf dem Datenbankserver ausführen, zum Beispiel durch das Hochladen von ASPX-Dateien, wenn die Datenbank auf demselben Server wie die Webanwendung läuft.
Betroffen
- Channel Software WebAlliance eCommerce, SOAP-Endpunkt /preapproval.asmx (Methode GetUser)
- Der offizielle CVE-Eintrag nennt den betroffenen Bereich 0 bis <= 1.*. In der CVE-Beschreibung fehlt die Version, daher ist der Bereich nicht bestätigt.
Behoben in
Unbekannt. Es wurde kein Herstellerfix und keine Herstellerwarnung gefunden. Laut Rapid7 hat Channel Software auf die Offenlegung nicht reagiert.
Umgehung
- Externen Zugriff auf /preapproval.asmx auf Ebene der WAF, des Reverse Proxys oder von IIS blockieren, sofern der Endpunkt nicht benötigt wird (Empfehlung von Rapid7).
- Das Datenbankkonto mit minimalen Berechtigungen betreiben, damit keine Befehlsausführung möglich ist.
- IIS- und SQL-Server-Logs auf ungewöhnliche Anfragen an /preapproval.asmx prüfen. Fehler können in HTTP-200-SOAP-Antworten enthalten sein.
Ausnutzung
- Rapid7 hat am 14. Oktober 2026 technische Details und einen Proof-of-Concept-Request veröffentlicht.
- Die Schwachstelle ist ohne Authentifizierung und aus dem Netzwerk erreichbar.
- Eine bestätigte Ausnutzung in freier Wildbahn wurde nicht gefunden. Der Status im CISA-KEV-Katalog konnte nicht verifiziert werden.
- Die SSVC-Bewertung lautet Exploitation: none und Automatable: yes.
Unsere Empfehlung
- Prüfen, ob WebAlliance eCommerce im Einsatz ist und ob /preapproval.asmx aus dem Internet erreichbar ist.
- Falls der Endpunkt nicht benötigt wird, /preapproval.asmx sofort blockieren. Jede internetexponierte Instanz ohne Fix hat hohe Priorität.
- Datenbankberechtigungen einschränken und Logs auf Injection-Versuche überwachen.
- Channel Software nach betroffenen Versionen, einem Fix und einem Veröffentlichungstermin fragen und den Fix so bald wie möglich einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Rapid7 blog: Unauthenticated SQL Injection in Channel Software WebAlliance eCommerce www.rapid7.com
- Vulners VulnRichment: CVE-2026-108065 vulners.com
- HackTricks write-up summary (GitHub PR) github.com
- Vendor product page: Channel Software www.channelsoftware.com
- ThreatInt: CVE-2026-108065 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.