CVE-2026-108065

Nome do Software Vulnerável e Versões Afetadas Channel Software WebAlliance eCommerce (versões afetadas não especificadas)

Descrição Um invasor remoto não autenticado pode realizar uma Injeção de SQL (CWE-89), que é uma falha onde instruções SQL maliciosas são inseridas em campos de entrada para execução. Isso ocorre por meio do método SOAP GetUser do endpoint /preapproval.asmx usando um parâmetro sUserID manipulado contendo uma aspa simples e consultas SQL empilhadas. Isso permite que o invasor leia e grave conteúdos sensíveis do banco de dados, como registros de clientes, credenciais e pedidos, e potencialmente execute comandos do sistema no Microsoft SQL Server no backend, dependendo dos privilégios do usuário do banco de dados.

Recomendações Aplicar o patch do fornecedor. Implantar uma regra de WAF para bloquear padrões de SQLi que visem a aplicação. Restringir os privilégios do usuário do banco de dados ao princípio do menor privilégio. Auditar logs em busca de consultas anômalas ou conexões de banco de dados externas.