یک آسیب‌پذیری در SharePoint Server که در ابتدا توسط مایکروسافت به عنوان یک نقص Spoofing با امتیاز CVSS 6.5 طبقه‌بندی شده بود، در واقع امکان اجرای کد از راه دور (Remote Code Execution) برای کاربران احراز هویت شده را فراهم می‌کند. این جزئیات فنی توسط Dinh Ho Anh Khoa، پژوهشگر Viettel Cyber Security منتشر شده است.
جزئیات فنی و تحلیل آسیب‌پذیری
این نقص که با شناسه CVE-2026-65660 شناخته می‌شود، نسخه‌های 2016، 2019 و Subscription Edition سرور SharePoint را تحت تأثیر قرار می‌دهد. در حالی که توصیه‌نامه مایکروسافت این مورد را تنها یک نقص Spoofing توصیف کرده بود، پایگاه داده ملی آسیب‌پذیری‌ها (NVD) امتیاز 8.8 را به آن اختصاص داده است.
ریشه این مشکل در نحوه بررسی کنترل‌های سمت سرور در لیست SafeControls قرار دارد؛ فیلتری که وظیفه جلوگیری از بارگذاری کلاس‌های خطرناک را بر عهده دارد. زمانی که کامپوننت ToolPane علامت‌گذاری‌های web-part را پردازش می‌کند، دستورات Register را بدون Escape کردن کوتیشن‌های داخلی بازسازی می‌کند. این موضوع به مهاجم اجازه می‌دهد تا با تزریق دستورات اضافی، کلاس‌های دلخواه .NET را پس از بررسی نوع (Type Check) اما پیش از بارگذاری کنترل، ثبت کند.
مسیر حمله و اکسپلویت
- بارگذاری کلاس: مهاجم با استفاده از بارگذاری کلاس‌های دلخواه و متد
XamlServices.Parse()، از طریق Deserialization باعث اجرای کد می‌شود. - Webshell: پژوهشگر یک Payload برای ایجاد Webshell در حافظه (In-memory) ارائه کرده است که محدودیت‌های دسترسی به Registry را دور می‌زند.
- ترکیب حملات: این نقص در صورت ترکیب با یک آسیب‌پذیری Authentication Bypass (که پیش‌تر اصلاح شده بود)، می‌تواند منجر به RCE پیش از احراز هویت (Pre-authentication) در سرورهایی شود که دسترسی ناشناس به صفحات را فعال کرده‌اند.
وضعیت اصلاحیه و ریسک
وصله‌های امنیتی مربوط به این آسیب‌پذیری از تاریخ 11 آگوست در دسترس هستند. طبق گزارش‌ها، این Patch علاوه بر رفع نقص، تابع آسیب‌پذیر را به صورت پیش‌فرض غیرفعال می‌کند. همچنین اشاره شده است که SharePoint 2013 نیز تحت تأثیر این نقص است، اما به دلیل پایان پشتیبانی در سال 2023، هیچ به‌روزرسانی امنیتی برای آن ارائه نمی‌شود.
اگرچه مایکروسافت احتمال اکسپلویت شدن این مورد را پایین ارزیابی کرده و گزارشی از سوءاستفاده گسترده در محیط‌های عملیاتی (In the wild) منتشر نشده است، اما با انتشار کامل Markup اکسپلویت، ریسک حملات هدفمند افزایش یافته است.
