Termix PoC für gespeichertes XSS (GHSA-m3cv-5hgp-hv35)

Dieses Repository enthält einen Proof-of-Concept-Exploit (PoC) für die Schwachstelle „gespeichertes XSS“ (Cross-Site Scripting) in Termix, die im Electron-Umfeld zu Local File Inclusion (LFI) und Session-Hijacking führen kann.

Details zur Schwachstelle

• Sicherheitshinweis: GHSA-m3cv-5hgp-hv35
• Komponente: Dateimanager (FileViewer.tsx)
• Grundursache: Unsicheres Rendern von SVG-Dateien mithilfe von dangerouslySetInnerHTML.
• Auswirkung: Angreifer können beliebigen JavaScript-Code ausführen, indem sie eine schädliche SVG-Datei hochladen. In der Electron-App ermöglicht dies die Umgehung der SOP, um lokale Dateien zu lesen (LFI) oder Sitzungstokens (JWT/Cookies) zu stehlen.

Voraussetzungen

• Ziel-Betriebssystem: Linux / macOS / Windows
• Abhängigkeiten: Python 3, Node.js (zum Ausführen der Ziel-App)
• Python-Bibliotheken: requests

Einrichtung & Installation

1. Python-Abhängigkeiten installieren:

   root@kitploit:~

   python3 -m venv .venv
   source .venv/bin/activate
   pip3 install requests
   

2. Zielanwendung (Termix) einrichten: Stellen Sie sicher, dass Sie die verwundbare Version von Termix (Release 1.9.0) entpackt haben. Hinweis: Der Exploit ist für Termix Release 1.7.0 - 1.9.0 ausgelegt.

   root@kitploit:~

   wget https://github.com/Termix-SSH/Termix/archive/refs/tags/release-1.9.0-tag.zip
   unzip release-1.9.0-tag.zip
   

   Terminal 1 (Backend):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm install
   npm run dev:backend
   

   Warten Sie, bis der Backend-Server vollständig gestartet ist.

   Terminal 2 (Frontend/Electron):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm run electron:dev
   

   Das Termix-Anwendungsfenster sollte sich öffnen.

3. SSH-Zugriff (Localhost) einrichten: Der Exploit verbindet sich mit dem SSH-Server des Opfers, um die schädliche Datei hochzuladen. Stellen Sie sicher, dass ein SSH-Server auf Port 22 läuft, oder passen Sie das Skript entsprechend an. In der Standardkonfiguration wird der Benutzer kali mit dem bereitgestellten autorisierten Schlüssel (oder Passwort) verwendet.

Ausführen des Exploits

1. Das Exploit-Skript ausführen: Öffnen Sie ein neues Terminal und führen Sie Folgendes aus:

   root@kitploit:~

   python3 exploit.py --user 'USERNAME' --pass 'PASSWORD'
   

   Hinweis: Die angegebenen Daten entsprechen den Standardanmeldeinformationen oder den von Ihnen registrierten.

2. XSS auslösen:

   • Gehen Sie zur Termix-Anwendung.
   • Navigieren Sie zum Dateimanager.
   • Gehen Sie zu /home/kali (oder dorthin, wo die Datei hochgeladen wurde).
   • Klicken Sie auf cookie_stealer.svg, um es anzusehen.

3. Erfolg überprüfen:

   • Eine visuelle Überlagerung (violette Box) sollte erscheinen, die „SESSION HIJACKED!“ anzeigt.
   • In der Box werden das JWT-Token (aus localStorage) und Cookies angezeigt.
   • Es sollte außerdem ein Alert-Popup mit der Meldung „Session Hijacking Successful!“ erscheinen.

Exploit-Code (exploit.py)

Das Skript führt die folgenden Aktionen aus:

1. Authentifiziert sich bei der Termix-Backend-API.
2. Erstellt einen verwalteten SSH-Host-Eintrag, der auf localhost verweist (unter Verwendung generierter SSH-Schlüssel).
3. Verbindet sich über die interne API von Termix mit dem SSH-Host.
4. Lädt eine schädliche SVG-Datei (cookie_stealer.svg) hoch, die die XSS-Payload enthält.
   • Payload: Verwendet <foreignObject>, um HTML/JS in SVG einzubetten.
   • Vektor: <img src="https://raw.githubusercontent.com/themehackers/cve-2026-22804/HEAD/x" onerror="..."> löst die Ausführung unmittelbar beim Rendern aus.

---

Haftungsausschluss: Dieser Code dient nur zu Bildungs- und Testzwecken. Verwenden Sie ihn nicht gegen Systeme, die Ihnen nicht gehören oder für deren Tests Sie keine Genehmigung haben.