Halo CMS CVE-2026-67921 的 CORS 配置缺陷与 CSRF 绕过组合利用 PoC 公开

公开的 PoC 展示了 Halo CMS 2.25.4 及以下版本中 CVE-2026-67921 的组合利用方式，CVSS v3.1 评分 9.3。该问题源于 CORS 策略允许任意来源并开启 credentials，同时 /api/** 与 /apis/** 被排除在 CSRF 保护之外，攻击者可从任意站点以受害者身份发起请求。