CVE-2025-70886

Une preuve de concept (PoC) pour CVE-2025-70886, une vulnérabilité persistante de déni de service dans Halo CMS (v2.22.4 et versions antérieures) qui permet à un attaquant distant de planter l'interface de commentaires administrateur en soumettant des charges malformées.

Informations de base

• Fournisseur du produit : 凌霞软件
• Site Web du fournisseur : https://www.lxware.cn/
• Type d'objet affecté : Logiciel / Application Web
• Produit affecté : Halo CMS
• Versions du produit affectées : <= v2.22.4
• Type de vulnérabilité : DoS persistant (DoS stocké) / Exception non gérée
• Type d'attaque : À distance
• Impact : Déni de service (la page de commentaires admin retourne HTTP 500 / Erreur interne du serveur)

Aperçu de la vulnérabilité

Un problème dans Halo v2.22.4 et antérieur permet à un attaquant distant de provoquer un déni de service via une charge utile falsifiée envoyée au point de terminaison de soumission de commentaires publics.

Détails de la vulnérabilité

Un attaquant peut soumettre une charge utile de commentaire falsifiée/malformée (champs manquants tels que subjectRef.version) via le point de terminaison de soumission de commentaires publics. Le commentaire malformé est stocké et déclenche ensuite une exception non gérée lorsque la page de commentaires admin le lit/l'affiche, résultant en un déni de service persistant pour la page de gestion des commentaires jusqu'à ce que l'enregistrement incriminé soit supprimé ou que la validation/gestion côté serveur soit corrigée.

• Impact : La page de commentaires admin devient indisponible (HTTP 500 / Erreur interne du serveur) après qu'un commentaire malformé a été soumis et stocké ; la récupération peut nécessiter un nettoyage manuel de la base de données ou une suppression via l'API.

Contenu de ce dépôt

• Un workflow qui démarre Halo et enregistre un résultat par version.
• Un outillage minimal pour envoyer une requête de commentaire de test.

Ce que fait le workflow

1. Télécharger et démarrer une version spécifiée de Halo.
2. Initialiser le système.
3. Configurer le système de commentaires.
4. Envoyer une requête de test et vérifier la réponse de l'API des commentaires.
5. Sauvegarder un résultat par version et publier un résumé final.

Résultats d'audit

À la fin de l'exécution, le job Summary publie un tableau montrant chaque version de Halo et son statut :

• likely_vulnerable — L'API a retourné HTTP 500 lors de la vérification.
• not_confirmed — L'API n'a pas retourné HTTP 500.

Résultats : https://github.com/HowieHz/CVE-2025-70886/actions/runs/21742076721

Étapes de reproduction manuelle

⚠️ Avertissement : Réservé aux environnements de test autorisés

1. Cloner le dépôt PoC

   root@kitploit:~

   git clone https://github.com/HowieHz/CVE-2025-70886
   cd CVE-2025-70886
   

2. Déployer une instance de test Halo CMS

   • Suivre la documentation officielle de Halo pour déployer une version vulnérable (<= v2.22.4) de Halo CMS
   • Adresse par défaut : http://localhost:8090

3. Initialiser le système

   • Accéder à la console Halo pour terminer la configuration initiale.
   • Configurer le système de commentaires :
     • Naviguer vers http://localhost:8090/console/settings?tab=comment
     • Assurez-vous que "Allow comments from registered users only"（仅允许注册用户评论） est désactivé (Si la connexion est nécessaire pour commenter, vous pouvez reproduire le problème en utilisant la méthode décrite sur le blog au lieu d'exécuter le script PoC ci-dessous.)
     • Assurez-vous que "Enable comments"（启用评论） est activé

4. Exécuter le script PoC (Assurez-vous que l'environnement Node.js est configuré.)

   root@kitploit:~

   node src/poc.js --base-url http://localhost:8090 --payload fixtures/payload.sample.json
   

   Options disponibles :

   • --base-url : URL de base du site Halo (par exemple http://localhost:8090)
   • --payload : Chemin vers un fichier JSON de charge utile de commentaire valide capturée
   • --dry-run : Afficher uniquement la charge utile modifiée, ne pas envoyer

Références

• https://github.com/halo-dev/halo/issues/7890
• https://howiehz.top/archives/halo-comment-payload-tweaker-en