Termix - إثبات مفهوم لثغرة XSS المخزّنة (GHSA-m3cv-5hgp-hv35)

يحتوي هذا المستودع على إثبات مفهوم (PoC) لاستغلال ثغرة البرمجة النصية عبر المواقع المخزّنة (Stored XSS) في Termix، والتي يمكن أن تؤدي إلى تضمين الملفات المحلية (LFI) في بيئة Electron وخطف الجلسات.

تفاصيل الثغرة

• النشرة الأمنية: GHSA-m3cv-5hgp-hv35
• المكوّن: مدير الملفات (FileViewer.tsx)
• السبب الجذري: عرض غير آمن لملفات SVG باستخدام dangerouslySetInnerHTML.
• الأثر: يمكن للمهاجمين تنفيذ جافاسكربت عشوائي عن طريق رفع ملف SVG خبيث. في تطبيق Electron، يسمح ذلك بتجاوز سياسة نفس الأصل (SOP) لقراءة الملفات المحلية (LFI) أو سرقة رموز الجلسة (JWT/Cookies).

المتطلبات الأساسية

• نظام التشغيل المستهدف: Linux / macOS / Windows
• التبعيات: Python 3, Node.js (لتشغيل التطبيق المستهدف)
• مكتبات بايثون: requests

الإعداد والتثبيت

1. تثبيت تبعيات بايثون:

   root@kitploit:~

   python3 -m venv .venv
   source .venv/bin/activate
   pip3 install requests
   

2. إعداد التطبيق المستهدف (Termix): تأكد من أن لديك النسخة القابلة للاستغلال من Termix (الإصدار 1.9.0) مفكوكة الضغط. ملاحظة: صُمم الاستغلال ليعمل مع إصدارات Termix 1.7.0 - 1.9.0.

   root@kitploit:~

   wget https://github.com/Termix-SSH/Termix/archive/refs/tags/release-1.9.0-tag.zip
   unzip release-1.9.0-tag.zip
   

   الطرفية 1 (الخلفية Backend):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm install
   npm run dev:backend
   

   انتظر حتى يتم تشغيل الخادم الخلفي بالكامل.

   الطرفية 2 (الواجهة الأمامية/Electron):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm run electron:dev
   

   يجب أن تفتح نافذة تطبيق Termix.

3. إعداد وصول SSH (الاستضافة المحلية): يتصل الاستغلال بخادم SSH الخاص بالضحية لرفع الملف الخبيث. تأكد من وجود خادم SSH يعمل على المنفذ 22 أو عدّل السكربت وفقًا لذلك. يُستخدم المستخدم kali مع المفتاح المصرح به (أو كلمة المرور) في الإعداد الافتراضي.

تشغيل الاستغلال

1. تشغيل سكربت الاستغلال: افتح طرفية جديدة وشغّل:

   root@kitploit:~

   python3 exploit.py --user 'USERNAME' --pass 'PASSWORD'
   

   ملاحظة: البيانات المقدمة تطابق بيانات الاعتماد الافتراضية أو تلك التي سجلتها.

2. تشغيل ثغرة XSS:

   • انتقل إلى تطبيق Termix.
   • انتقل إلى مدير الملفات.
   • انتقل إلى /home/kali (أو حيث تم رفع الملف).
   • انقر على cookie_stealer.svg لعرضه.

3. التحقق من النجاح:

   • يجب أن تظهر طبقة مرئية (صندوق أرجواني) تقول "SESSION HIJACKED!".
   • سيعرض رمز JWT (من localStorage) والكوكيز داخل الصندوق.
   • يجب أن تظهر أيضًا نافذة تنبيه تقول "Session Hijacking Successful!".

كود الاستغلال (exploit.py)

يقوم السكربت بالإجراءات التالية:

1. المصادقة مع واجهة برمجة تطبيقات الخلفية الخاصة بـ Termix.
2. إنشاء إدخال مضيف SSH مُدار يشير إلى localhost (باستخدام مفاتيح SSH مولّدة).
3. الاتصال بمضيف SSH عبر واجهة Termix الداخلية.
4. رفع ملف SVG خبيث (cookie_stealer.svg) يحتوي على حمولة XSS.
   • الحمولة: تستخدم <foreignObject> لتضمين HTML/JS داخل SVG.
   • المتجه: <img src="https://raw.githubusercontent.com/themehackers/cve-2026-22804/HEAD/x" onerror="..."> يطلق التنفيذ فور العرض.

---

إخلاء مسؤولية: هذا الكود لأغراض تعليمية واختبارية فقط. لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن لاختبارها.