SecBoard
Zurück zur CVE-Übersicht

CVE-2026-108065

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

0.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-108065 betrifft die SOAP GetUser-Methode des /preapproval.asmx-Endpunkts in Channel Software WebAlliance eCommerce. Es handelt sich um eine (CWE-89), die es einem nicht authentifizierten Angreifer ermöglicht, über den manipulierten sUserID-Parameter beliebige SQL-Abfragen auf dem Backend Microsoft SQL Server auszuführen. Dies kann zum Lesen, Schreiben und potenziell zur Ausführung von Befehlen führen. Die Schwachstelle weist einen CVSS-Score von 9.8 (CRITICAL) auf, was auf ein extrem hohes Risiko hinweist. Trotz der hohen Kritikalität liegt die Exploit-Wahrscheinlichkeit () bei nur 1%, und die Schwachstelle ist derzeit nicht im KEV-Katalog gelistet, was bedeutet, dass sie nicht aktiv ausgenutzt wird. Security-Teams sollten diese Schwachstelle aufgrund des kritischen CVSS-Scores dennoch priorisieren. Es wird empfohlen, verfügbare Patches umgehend einzuspielen oder, falls keine Patches vorhanden sind, geeignete Mitigationen wie die Filterung von Benutzereingaben und die Implementierung von Prepared Statements zu prüfen, um das Risiko zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

SQL Injection (CWE-89) in the SOAP GetUser method of the /preapproval.asmx endpoint in Channel Software WebAlliance eCommerce [VERSION — missing] allows an unauthenticated remote attacker to read, write, and potentially execute commands on the backend Microsoft SQL Server via a crafted sUserID parameter value containing a single quote and stacked SQL query.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Detects attempts to inject SQL into the 'sUserID' parameter of the '/preapproval.asmx' endpoint, looking for common SQL injection patterns like single quotes and stacked queries.

Sentinel/Defender KQL

let SqlInjectionPatterns = dynamic(["'", ";", "--", "/*", "xp_cmdshell", "sp_executesql"]);
let Endpoint = "/preapproval.asmx";
let Parameter = "sUserID=";

DeviceNetworkEvents
| where RemoteUrl contains Endpoint
| where InitiatingProcessCommandLine contains Parameter
| where array_any(SqlInjectionPatterns, (pattern) { InitiatingProcessCommandLine contains pattern })
| project Timestamp, DeviceName, InitiatingProcessCommandLine, RemoteUrl, RemoteIP

Splunk SPL

(uri_path="/preapproval.asmx" OR url="*/preapproval.asmx*") (query="*sUserID=*'" OR query="*sUserID=*;*" OR query="*sUserID=*--*" OR query="*sUserID=*/*" OR query="*sUserID=*xp_cmdshell*" OR query="*sUserID=*sp_executesql*")

Sigma

title: Channel Software WebAlliance eCommerce SQL Injection
id: 00000000-0000-0000-0000-000000000001
status: experimental
description: Detects unauthenticated SQL injection attempts in Channel Software WebAlliance eCommerce via the /preapproval.asmx endpoint.
author: SecBoard
date: 2024/07/30
logsource:
  category: webserver
  product: iis
detection:
  selection:
    uri_path: '/preapproval.asmx'
    query|contains:
      - "sUserID='"
      - "sUserID=;"
      - "sUserID=--"
      - "sUserID=/*"
      - "sUserID=xp_cmdshell"
      - "sUserID=sp_executesql"
  condition: selection
level: critical

Elastic ES|QL

FROM http_logs
WHERE url.path == "/preapproval.asmx"
AND (
  url.query LIKE "%sUserID='%"
  OR url.query LIKE "%sUserID=;%"
  OR url.query LIKE "%sUserID=--%"
  OR url.query LIKE "%sUserID=/*%"
  OR url.query LIKE "%sUserID=xp_cmdshell%"
  OR url.query LIKE "%sUserID=sp_executesql%"
)

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Referenzen