CVE-2025-70886

针对 CVE-2025-70886 的概念验证（PoC）利用程序，该漏洞是 Halo CMS（v2.22.4 及更早版本）中的一个持久性拒绝服务漏洞，允许远程攻击者通过提交畸形负载导致管理评论界面崩溃。

基本信息

• 产品供应商: 凌霞软件
• 供应商网站: https://www.lxware.cn/
• 受影响对象类型: 软件 / Web 应用程序
• 受影响产品: Halo CMS
• 受影响产品版本: <= v2.22.4
• 漏洞类型: 持久性 DoS（存储型 DoS）/ 未处理异常
• 攻击类型: 远程
• 影响: 拒绝服务（管理评论页面返回 HTTP 500 / 内部服务器错误）

漏洞概述

Halo v2.22.4 及更早版本存在一个问题，允许远程攻击者通过向公开评论提交接口发送特制负载引发拒绝服务。

漏洞细节

攻击者可以通过公开评论提交接口提交一个经过精心制作的/畸形的评论负载（缺少 subjectRef.version 等字段）。该畸形评论被存储后，当管理评论页面读取/渲染它时将触发未处理异常，导致评论管理页面持续拒绝服务，直到删除违规记录或修复服务器端验证/处理逻辑。

• 影响: 管理评论页面在提交并存储畸形评论后变得不可用（HTTP 500 / 内部服务器错误）；恢复可能需要手动清理数据库或通过 API 删除。

此仓库包含的内容

• 一个 工作流，启动 Halo 并按版本记录结果。
• 最小化工具 用于发送测试评论请求。

工作流执行的操作

1. 下载并启动指定的 Halo 版本。
2. 初始化系统。
3. 配置评论系统。
4. 发送测试请求并检查评论 API 响应。
5. 保存每个版本的结果并发布最终摘要。

审计结果

运行结束时，摘要 任务会发布一个表格，显示每个 Halo 版本及其状态：

• likely_vulnerable — API 在检查期间返回 HTTP 500。
• not_confirmed — API 未返回 HTTP 500。

结果：https://github.com/HowieHz/CVE-2025-70886/actions/runs/21742076721

手动复现步骤

⚠️ 警告：仅限授权测试环境使用

1. 克隆 PoC 仓库

   git clone https://github.com/HowieHz/CVE-2025-70886
   cd CVE-2025-70886
   

2. 部署 Halo CMS 测试实例

   • 按照 官方 Halo 文档 部署一个受影响的版本（<= v2.22.4）
   • 默认地址：http://localhost:8090

3. 初始化系统

   • 访问 Halo 控制台完成初始设置。
   • 配置评论系统：
     • 导航至 http://localhost:8090/console/settings?tab=comment
     • 确保 禁用 "仅允许注册用户评论"（如果要求登录才能评论，可以使用 博客 中描述的方法复现问题，而不是运行下面的 PoC 脚本。）
     • 确保 启用 "启用评论"

4. 执行 PoC 脚本（确保已配置 Node.js 环境。）

   node src/poc.js --base-url http://localhost:8090 --payload fixtures/payload.sample.json
   

   可用选项：

   • --base-url: Halo 站点基础 URL（例如 http://localhost:8090）
   • --payload: 捕获的有效评论负载 JSON 文件的路径
   • --dry-run: 仅打印修改后的负载，不发送
   • --header: 以 'Key: Value' 形式添加额外请求头（可重复）
   • --help: 显示帮助信息

5. 验证漏洞

   • 访问管理评论页面：http://localhost:8090/console/comments
   • 如果出现 内部服务器错误（HTTP 500），则漏洞确认存在

参考资料

• https://github.com/halo-dev/halo/issues/7890
• https://howiehz.top/archives/halo-comment-payload-tweaker-en