Termix PoC XSS stocké (GHSA-m3cv-5hgp-hv35)

Ce dépôt contient un exploit de preuve de concept (PoC) pour la vulnérabilité de Cross-Site Scripting stocké (XSS) dans Termix, qui peut conduire à une inclusion locale de fichiers (LFI) dans l'environnement Electron et à un détournement de session.

Détails de la vulnérabilité

• Avis de sécurité : GHSA-m3cv-5hgp-hv35
• Composant : Gestionnaire de fichiers (FileViewer.tsx)
• Cause racine : Rendu non sécurisé des fichiers SVG à l'aide de dangerouslySetInnerHTML.
• Impact : Les attaquants peuvent exécuter du JavaScript arbitraire en téléchargeant un fichier SVG malveillant. Dans l'application Electron, cela permet de contourner la SOP pour lire des fichiers locaux (LFI) ou de voler des jetons de session (JWT/Cookies).

Prérequis

• Système d'exploitation cible : Linux / macOS / Windows
• Dépendances : Python 3, Node.js (pour exécuter l'application cible)
• Bibliothèques Python : requests

Configuration et installation

1. Installer les dépendances Python :

   root@kitploit:~

   python3 -m venv .venv
   source .venv/bin/activate
   pip3 install requests
   

2. Configurer l'application cible (Termix) : Assurez-vous d'avoir extrait la version vulnérable de Termix (Release 1.9.0). Note : L'exploit est conçu pour fonctionner avec Termix Release 1.7.0 - 1.9.0.

   root@kitploit:~

   wget https://github.com/Termix-SSH/Termix/archive/refs/tags/release-1.9.0-tag.zip
   unzip release-1.9.0-tag.zip
   

   Terminal 1 (Backend) :

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm install
   npm run dev:backend
   

   Attendez que le serveur backend soit complètement démarré.

   Terminal 2 (Frontend/Electron) :

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm run electron:dev
   

   La fenêtre de l'application Termix devrait s'ouvrir.

3. Configurer l'accès SSH (Localhost) : L'exploit se connecte au serveur SSH de la victime pour téléverser le fichier malveillant. Assurez-vous qu'un serveur SSH est en cours d'exécution sur le port 22 ou ajustez le script en conséquence. L'utilisateur kali avec la clé autorisée fournie (ou mot de passe) est utilisé dans la configuration par défaut.

Exécution de l'exploit

1. Exécuter le script d'exploitation : Ouvrez un nouveau terminal et exécutez :

   root@kitploit:~

   python3 exploit.py --user 'USERNAME' --pass 'PASSWORD'
   

   Remarque : les données fournies correspondent aux identifiants par défaut ou à ceux que vous avez enregistrés.

2. Déclencher le XSS :

   • Allez dans l'application Termix.
   • Naviguez vers le Gestionnaire de fichiers.
   • Allez dans /home/kali (ou là où le fichier a été téléversé).
   • Cliquez sur cookie_stealer.svg pour l'afficher.

3. Vérifier le succès :

   • Une superposition visuelle (boîte violette) devrait apparaître avec le message "SESSION HIJACKED!".
   • Elle affichera le Token JWT (à partir de localStorage) et les Cookies dans la boîte.
   • Une popup d'alerte indiquant "Session Hijacking Successful!" devrait également apparaître.

Code de l'exploit (exploit.py)

Le script effectue les actions suivantes :

1. S'authentifie auprès de l'API backend de Termix.
2. Crée une entrée d'hôte SSH gérée pointant vers localhost (à l'aide de clés SSH générées).
3. Se connecte à l'hôte SSH via l'API interne de Termix.
4. Téléverse un fichier SVG malveillant (cookie_stealer.svg) contenant la charge utile XSS.
   • Charge utile : utilise <foreignObject> pour intégrer du HTML/JS dans le SVG.
   • Vecteur : <img src="https://raw.githubusercontent.com/themehackers/cve-2026-22804/HEAD/x" onerror="..."> déclenche l'exécution immédiatement lors du rendu.

---

Avertissement : Ce code est uniquement à des fins éducatives et de test. Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou que vous n'avez pas l'autorisation de tester.