CVE-2026-108065: SQL injection critica in piattaforma e-commerce B2B WebAlliance

Il 14 ottobre 2026 Rapid7 ha pubblicato l'advisory tecnico su CVE-2026-108065, una vulnerabilità di SQL injection non autenticata con punteggio CVSS 9.8 che colpisce la piattaforma Channel Software WebAlliance eCommerce. La falla risiede nel parametro sUserID del metodo GetUser esposto sull'endpoint SOAP /preapproval.asmx: un errore di escaping permette di manipolare la query SQL sottostante, con conseguenze che vanno dalla lettura di dati sensibili fino all'esecuzione di comandi di sistema quando l'account database gode di privilegi sysadmin. La scoperta, avvenuta il 13 luglio 2026 durante esercizi di red teaming continuo, mette in luce rischi in una categoria di piattaforme commerciali B2B.

Il meccanismo: da una virgoletta mancata al controllo condizionale

L'advisory di Rapid7 descrive con precisione il percorso d'attacco. Il parametro sUserID nel metodo GetUser "non effettua correttamente l'escape dell'input utente": inserendo una virgoletta singola è possibile interrompere la query legittima e concatenare istruzioni arbitrarie. La risposta del server include messaggi di errore che indicano la condizione: "Incorrect syntax near 'ZZZ'. Unclosed quotation mark after the character string ''" — un esempio con payload specifico, non una prova generica di vulnerabilità.

La criticità si amplifica per due caratteristiche tecniche concomitanti. Primo, l'endpoint è raggiungibile senza autenticazione: l'attaccante non necessita di credenziali valide. Secondo, il database è Microsoft SQL Server, che supporta le stacked queries — l'esecuzione concatenata di più istruzioni SQL in una singola chiamata. Questo consente operazioni ben oltre la semplice lettura: enumerazione dello schema, accesso a tabelle, e, in presenza di privilegi sysadmin, attivazione di SQL Ole Automation per scrivere file.

Rapid7 ha dimostrato concretamente questa escalation: la funzione IS_SRVROLEMEMBER('sysadmin') verifica i privilegi dell'account, e SQL Ole Automation permette di "caricare un file" — nel caso specifico, una web shell ASPX. La condizione necessaria per questo secondo stadio è duplice: l'account di servizio deve avere ruolo sysadmin, e il database e il server web devono essere co-locati (o almeno accessibili in scrittura dal punto di vista del processo SQL Server). La fonte non specifica se questa co-locazione sia tipica delle installazioni di WebAlliance eCommerce.

La piattaforma nel mirino: e-commerce B2B con profilo di rischio specifico

WebAlliance eCommerce è prodotto di Channel Software, vendor specializzato in piattaforme per distributori all'ingrosso e produttori industriali. Questo profilo tipologico — software commerciale per settori verticali — costituisce una categoria che, secondo osservatori del settore, può presentare cicli di aggiornamento più lunghi rispetto a soluzioni consumer-oriented.

Il record NVD indica le versioni affette con la notazione 0 <=1.*: una sintassi che copre teoricamente tutte le release esistenti fino alla major 1, senza tuttavia indicare quale versione risolva la falla. L'advisory di Rapid7 presenta una sezione timeline con settembre 2026 troncata, rendendo impossibile stabilire con certezza se Channel Software abbia rilasciato patch nel frattempo.

Timeline e disclosure: l'arco tra scoperta e pubblicazione

La cronologia documentata mostra un percorso metodico. La scoperta di Marcus Chang risale al 13 luglio 2026, nel contesto di esercizi di red teaming continuo condotti tramite il servizio Vector Command di Rapid7. Il contatto iniziale con Channel Software è avvenuto il 28 agosto 2026. La pubblicazione dell'advisory pubblico è datata 14 ottobre 2026; il record NVD risultava già pubblicato dal 23 settembre 2026.

L'intervallo tra scoperta e pubblicazione è di 92 giorni; tra contatto vendor e pubblicazione di 47 giorni. La fonte non specifica policy di disclosure interne né motivazioni per questi tempi.

Cosa fare adesso

Le azioni difensive plausibili per le organizzazioni che utilizzano WebAlliance eCommerce si limitano a quanto inferibile dal brief tecnico, con le seguenti qualificazioni.

La verifica dell'esposizione dell'endpoint /preapproval.asmx su interfacce pubbliche rappresenta il primo passo documentabile. La restrizione dell'accesso a tale endpoint, ove architetturalmente possibile, ridurrebbe la superficie di attacco per un vettore non autenticato.

La verifica dei privilegi dell'account di servizio database — specificamente se disponga del ruolo sysadmin — è rilevante per la valutazione del rischio di escalation verso esecuzione di comandi di sistema. La fonte non specifica configurazioni tipiche né raccomandazioni del vendor in merito.

Il monitoraggio di richieste SOAP anomale verso /preapproval.asmx con parametri sUserID contenenti virgolette singole o istruzioni SQL concatenate rappresenta un approccio difensivo plausibile, sebbene la fonte non dettagli pattern specifici o soglie di allarme.

Dato chiave

CVSS 9.8 (Critical) — Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La vulnerabilità è raggiungibile da rete senza autenticazione, con impatto completo su confidenzialità, integrità e disponibilità.

L'analisi nel contesto

Questo caso illustra una dinamica ricorrente nel panorama della sicurezza dei software commerciali verticali: la scoperta tramite red teaming continuo rivela vulnerabilità in piattaforme che possono non essere sottoposte a test di sicurezza sistematici da parte di terzi indipendenti. Il servizio Vector Command di Rapid7, attraverso cui Marcus Chang ha condotto l'attività, rappresenta un modello di verifica proattiva commissionato dal vendor stesso — un approccio che, secondo quanto documentato, ha portato alla identificazione e successiva divulgazione coordinata.

La mancanza di chiarezza sullo stato della patch — derivante da testo troncato nell'advisory — costituisce un limite informativo significativo per i difensori. Le organizzazioni che utilizzano WebAlliance eCommerce non possono, sulla base delle fonti disponibili, determinare con certezza se esista una versione aggiornata da installare.

Nota metodologica. L'analisi si basa su un advisory Rapid7 e record NVD convergente; non sono disponibili fonti indipendenti aggiuntive. Le considerazioni su pratiche di settore e dinamiche di mercato sono presentate come osservazioni condizionali, non come fatti verificati.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.rapid7.com/blog/post/ve-unauthenticated-sql-injection-in-channel-software-weballiance-ecommerce
• https://nvd.nist.gov/vuln/detail/CVE-2026-108065
• https://www.rapid7.com/platform/
• https://www.rapid7.com/products/command/attack-surface-management-asm/
• https://www.rapid7.com/products/command/exposure-management/