PT-2026-114002
CVE-2026-108065
·
تاريخ النشر
2026-10-14
·
تاريخ التحديث
2026-10-14
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Channel Software WebAlliance eCommerce (إصدارات متأثرة غير محددة)
الوصف
يمكن لمهاجم عن بُعد غير مصرح له تنفيذ حقن SQL (CWE-89)، وهي ثغرة يتم من خلالها إدخال بيانات SQL خبيثة في حقول الإدخال لتنفيذها. يحدث هذا عبر طريقة SOAP
GetUser في نقطة النهاية /preapproval.asmx باستخدام قيمة معلمة sUserID مصممة بعناية تحتوي على علامة اقتباس مفردة واستعلامات SQL متراكمة. يسمح هذا للمهاجم بقراءة وكتابة محتويات قاعدة البيانات الحساسة، مثل سجلات العملاء وبيانات الاعتماد والطلبات، وربما تنفيذ أوامر النظام على خادم Microsoft SQL Server في الخلفية اعتمادًا على صلاحيات مستخدم قاعدة البيانات.التوصيات
تطبيق تصحيح المورد.
نشر قاعدة WAF لحظر أنماط حقن SQL التي تستهدف التطبيق.
تقييد صلاحيات مستخدم قاعدة البيانات وفقًا لمبدأ الحد الأدنى من الصلاحيات.
تدقيق السجلات للبحث عن استعلامات غير طبيعية أو اتصالات قاعدة بيانات خارجية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾