MS SharePoint CVE-2026-65660 - Exploit d'injection de code via directive Register malveillante

Description

Ce dépôt fournit un exploit prêt pour la production pour CVE-2026-65660 (Contrôle inapproprié de la génération de code, CWE-94) dans Microsoft SharePoint Server. La vulnérabilité provient d'une injection de guillemet non échappé dans les directives Register, contournant la validation SafeControls et permettant l'exécution de code arbitraire via la désérialisation XamlServices.Parse().

L'exploit permet à un utilisateur autorisé à faibles privilèges d'injecter des directives malveillantes, d'obtenir une exécution de code à distance, de déployer un webshell persistant en mémoire, d'élever les privilèges via le contexte de service SharePoint, d'effectuer un mouvement latéral dans la ferme, d'établir un C2, d'exfiltrer des documents/données sensibles et de perturber les services de collaboration.

Téléchargement

Contactez-nous pour un accès privé : [email protected]

Prérequis

• Microsoft SharePoint Server 2016/2019/2022 (on-prem)
• .NET Framework 4.8+
• Python 3.10+
• Bibliothèque Requests (pour l'interaction HTTP/XAML)

Fonctionnalités

• Exploitation directe de CVE-2026-65660 via l'injection de directive Register malveillante
• Déploiement d'un webshell en mémoire pour la persistance
• Élévation de privilèges via le contexte de service SharePoint
• Mouvement latéral et établissement d'un command-and-control
• Exfiltration de documents et de données
• Capacités de perturbation opérationnelle

Installation

pip install requests
python exploit.py [options]

Crédits

Rapport & PoC : ShadowForge Cyber