PoC de XSS Almacenado en Termix (GHSA-m3cv-5hgp-hv35)

Este repositorio contiene una Prueba de Concepto (PoC) de explotación para la vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en Termix, que puede provocar Inclusión de Archivos Locales (LFI) en el entorno Electron y Secuestro de Sesión.

Detalles de la vulnerabilidad

• Aviso: GHSA-m3cv-5hgp-hv35
• Componente: Administrador de Archivos (FileViewer.tsx)
• Causa raíz: Renderizado inseguro de archivos SVG mediante dangerouslySetInnerHTML.
• Impacto: Los atacantes pueden ejecutar JavaScript arbitrario subiendo un archivo SVG malicioso. En la aplicación Electron, esto permite eludir la SOP para leer archivos locales (LFI) o robar tokens de sesión (JWT/Cookies).

Requisitos previos

• SO objetivo: Linux / macOS / Windows
• Dependencias: Python 3, Node.js (para ejecutar la aplicación objetivo)
• Bibliotecas de Python: requests

Configuración e instalación

1. Instalar dependencias de Python:

   root@kitploit:~

   python3 -m venv .venv
   source .venv/bin/activate
   pip3 install requests
   

2. Configurar la aplicación objetivo (Termix): Asegúrate de tener extraída la versión vulnerable de Termix (Release 1.9.0). Nota: El exploit está diseñado para funcionar con Termix Release 1.7.0 - 1.9.0.

   root@kitploit:~

   wget https://github.com/Termix-SSH/Termix/archive/refs/tags/release-1.9.0-tag.zip
   unzip release-1.9.0-tag.zip
   

   Terminal 1 (Backend):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm install
   npm run dev:backend
   

   Espera hasta que el servidor backend esté completamente iniciado.

   Terminal 2 (Frontend/Electron):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm run electron:dev
   

   Se debería abrir la ventana de la aplicación Termix.

3. Configurar acceso SSH (localhost): El exploit se conecta al servidor SSH de la víctima para subir el archivo malicioso. Asegúrate de tener un servidor SSH ejecutándose en el puerto 22 o ajusta el script en consecuencia. El usuario kali con la clave autorizada proporcionada (o contraseña) se usa en la configuración predeterminada.

Ejecutar el exploit

1. Ejecutar el script del exploit: Abre una nueva terminal y ejecuta:

   root@kitploit:~

   python3 exploit.py --user 'USERNAME' --pass 'PASSWORD'
   

   Nota: los datos proporcionados coinciden con las credenciales predeterminadas o con las que hayas registrado.

2. Activar el XSS:

   • Ve a la aplicación Termix.
   • Navega al Administrador de Archivos.
   • Ve a /home/kali (o donde se haya subido el archivo).
   • Haz clic en cookie_stealer.svg para verlo.

3. Verificar el éxito:

   • Debe aparecer una superposición visual (caja morada) que diga "SESSION HIJACKED!".
   • Mostrará el Token JWT (de localStorage) y las Cookies dentro de la caja.
   • También debería aparecer una ventana emergente de alerta que diga "Session Hijacking Successful!".

Código del exploit (exploit.py)

El script realiza las siguientes acciones:

1. Se autentica con la API del backend de Termix.
2. Crea una entrada de host SSH administrada que apunta a localhost (usando claves SSH generadas).
3. Se conecta al host SSH a través de la API interna de Termix.
4. Sube un archivo SVG malicioso (cookie_stealer.svg) que contiene el payload XSS.
   • Payload: Usa <foreignObject> para incrustar HTML/JS dentro del SVG.
   • Vector: <img src="https://raw.githubusercontent.com/themehackers/cve-2026-22804/HEAD/x" onerror="..."> activa la ejecución inmediatamente al renderizarse.

---

Aviso legal: Este código es solo para fines educativos y de prueba. No lo uses contra sistemas que no poseas o para los que no tengas permiso de prueba.