CVE-2025-70886

CVE-2025-70886 の概念実証（PoC）エクスプロイト。この脆弱性は Halo CMS（v2.22.4 およびそれ以前）における持続的なサービス拒否脆弱性であり、遠隔攻撃者が不正なペイロードを送信して管理コメントインターフェースをクラッシュさせることを可能にします。

基本情報

• Product Vendor: 凌霞软件
• Vendor Website: https://www.lxware.cn/
• 影響を受けるオブジェクトタイプ: ソフトウェア / Webアプリケーション
• 影響を受ける製品: Halo CMS
• 影響を受ける製品バージョン: <= v2.22.4
• 脆弱性タイプ: 持続的なDoS（保存型DoS）/ 未処理の例外
• 攻撃タイプ: 遠隔
• 影響: サービス拒否（管理コメントページが HTTP 500 / Internal Server Error を返す）

脆弱性の概要

Halo v2.22.4 およびそれ以前における問題により、遠隔攻撃者が細工されたペイロードを公開コメント送信エンドポイントに送信してサービス拒否を引き起こすことができます。

脆弱性の詳細

攻撃者は、公開コメント送信エンドポイントを介して、細工された/不正なコメントペイロード（subjectRef.version などのフィールドが欠落している）を送信できます。不正なコメントは保存され、後で管理コメントページがそれを読み取り/レンダリングする際に未処理の例外を引き起こし、問題のあるレコードが削除されるか、サーバー側の検証/処理が修正されるまで、コメント管理ページの持続的なサービス拒否を引き起こします。

• 影響: 不正なコメントが送信され保存された後、管理コメントページが利用不可（HTTP 500 / Internal Server Error）になります。回復には手動のデータベースクリーンアップまたはAPIによる削除が必要な場合があります。

このリポジトリの内容

• Halo を起動し、バージョンごとに結果を記録するワークフロー。
• テストコメントリクエストを送信するための最小限のツール。

ワークフローの動作

1. 指定された Halo バージョンをダウンロードして起動する。
2. システムを初期化する。
3. コメントシステムを設定する。
4. テストリクエストを送信し、コメントAPIの応答を確認する。
5. バージョンごとの結果を保存し、最終サマリーを公開する。

監査結果

実行終了時に、Summary ジョブが各 Halo バージョンとそのステータスを示す表を公開します。

• likely_vulnerable — チェック中にAPIがHTTP 500を返した。
• not_confirmed — APIがHTTP 500を返さなかった。

Results: https://github.com/HowieHz/CVE-2025-70886/actions/runs/21742076721

手動再現手順

⚠️ 警告: 許可されたテスト環境のみで使用してください

1. PoCリポジトリをクローンする

   git clone https://github.com/HowieHz/CVE-2025-70886
   cd CVE-2025-70886
   

2. Halo CMSテストインスタンスをデプロイする

   • 公式Haloドキュメントに従って、脆弱なバージョン（<= v2.22.4）のHalo CMSをデプロイする
   • デフォルトアドレス: http://localhost:8090

3. システムを初期化する

   • Haloコンソールにアクセスして初期設定を完了する。
   • コメントシステムを設定する:
     • http://localhost:8090/console/settings?tab=comment に移動する
     • 「Allow comments from registered users only」（仅允许注册用户评论）が 無効 であることを確認する（コメントにログインが必要な場合は、以下のPoCスクリプトを実行する代わりに、ブログで説明されている方法を使用して問題を再現できます。）
     • 「Enable comments」（启用评论）が 有効 であることを確認する

4. PoCスクリプトを実行する（Node.js環境が設定されていることを確認してください。）

   node src/poc.js --base-url http://localhost:8090 --payload fixtures/payload.sample.json
   

   使用可能なオプション:

   • --base-url: HaloサイトのベースURL（例: http://localhost:8090）
   • --payload: キャプチャした有効なコメントペイロードJSONファイルへのパス
   • --dry-run: 変更されたペイロードを表示するのみで送信しない
   • --header: 'Key: Value' 形式の追加ヘッダー（繰り返し可能）
   • --help: ヘルプを表示

5. 脆弱性を確認する

   • 管理コメントページにアクセス: http://localhost:8090/console/comments
   • Internal Server Error (HTTP 500) が表示される場合、脆弱性が確認されます。

参考文献

• https://github.com/halo-dev/halo/issues/7890
• https://howiehz.top/archives/halo-comment-payload-tweaker-en