• Impacto: la página de comentarios del administrador deja de estar disponible (HTTP 500 / Error interno del servidor) después de que un comentario malformado se envía y almacena; la recuperación puede requerir limpieza manual de la base de datos o eliminación mediante API.

Qué contiene este repositorio

• Un workflow que inicia Halo y registra un resultado por versión.
• Herramienta mínima para enviar una solicitud de comentario de prueba.

Qué hace el workflow

1. Descargar e iniciar una versión específica de Halo.
2. Inicializar el sistema.
3. Configurar el sistema de comentarios.
4. Enviar una solicitud de prueba y comprobar la respuesta de la API de comentarios.
5. Guardar un resultado por versión y publicar un resumen final.

Resultados de la auditoría

Al final de la ejecución, el trabajo Summary publica una tabla que muestra cada versión de Halo y su estado:

• likely_vulnerable — la API devolvió HTTP 500 durante la comprobación.
• not_confirmed — la API no devolvió HTTP 500.

Resultados: https://github.com/HowieHz/CVE-2025-70886/actions/runs/21742076721

Pasos de reproducción manual

⚠️ Advertencia: Solo para entornos de pruebas autorizados

1. Clonar el repositorio del PoC

   root@kitploit:~

   git clone https://github.com/HowieHz/CVE-2025-70886
   cd CVE-2025-70886
   

2. Desplegar una instancia de prueba de Halo CMS

   • Seguir la documentación oficial de Halo para desplegar una versión vulnerable (<= v2.22.4) de Halo CMS
   • Dirección por defecto: http://localhost:8090

3. Inicializar el sistema

   • Acceder a la consola de Halo para completar la configuración inicial.
   • Configurar el sistema de comentarios:
     • Navegar a http://localhost:8090/console/settings?tab=comment
     • Asegurarse de que "Permitir comentarios solo de usuarios registrados"（仅允许注册用户评论） esté deshabilitado (Si se requiere iniciar sesión para comentar, se puede reproducir el problema usando el método descrito en blog en lugar de ejecutar el script del PoC a continuación).
     • Asegurarse de que "Habilitar comentarios"（启用评论） esté habilitado

4. Ejecutar el script del PoC (Asegurarse de que el entorno Node.js esté configurado.)

   root@kitploit:~

   node src/poc.js --base-url http://localhost:8090 --payload fixtures/payload.sample.json
   

   Opciones disponibles:

   • --base-url: URL base del sitio Halo (p. ej., http://localhost:8090)
   • --payload: Ruta a un archivo JSON con un payload de comentario válido capturado
   • --dry-run: Solo imprime el payload modificado, no lo envía
   • --header: Cabecera adicional en formato 'Key: Value' (repetible)
   • --help: Mostrar ayuda

5. Verificar la vulnerabilidad

   • Visitar la página de comentarios del administrador: http://localhost:8090/console/comments
   • Si aparece Error interno del servidor (HTTP 500), la vulnerabilidad se confirma

Referencias

• https://github.com/halo-dev/halo/issues/7890
• https://howiehz.top/archives/halo-comment-payload-tweaker-en