El defecto de Microsoft SharePoint permite a los atacantes ejecutar código de forma remota con privilegios bajos

Microsoft ha confirmado una vulnerabilidad de ejecución remota de código de alta gravedad en SharePoint Server local que permite que un atacante autenticado con pocos privilegios ejecute código arbitrario en una red sin interacción del usuario. Rastreado como CVE-2026-65660, el defecto de inyección de código tiene una puntuación CVSS de 8.8 y afecta a SharePoint Server 2016, SharePoint Server 2019 y SharePoint Server Subscription Edition.

Debido a que los servidores de SharePoint contienen documentos confidenciales y operan con identidades de servicio potentes, la exploit exitosa podría proporcionar a los atacantes un punto de apoyo para el robo de credenciales, el movimiento lateral, la exfiltración de datos y el acceso persistente a través de entornos. El problema se puede explotar cuando el componente ToolPane procesa las directivas Register controladas por el atacante que se utilizan para asignar prefijos de etiquetas a los controles de ASP.NET. A continuación, SharePoint reconstruye esas directivas colocando valores de atributo entre comillas dobles. Este error de pedido permite que un atacante registre clases.NET peligrosas y llegue a los gadgets de ejecución de código.

Sin embargo, el investigador demostró que CVE-2026-65660 podría combinarse con una debilidad de autenticación ToolPane separada para obtener RCE de preautenticación cuando una implementación de SharePoint permite el acceso anónimo a páginas adecuadas. En el momento de la publicación, Microsoft dijo que CVE-2026-65660 no había sido divulgado o explotado públicamente y calificó la exploit como menos probable.

Consultar publicación original ↗