Termix セキュリティリサーチ

Termix（WebベースのSSH・サーバー管理プラットフォーム、13k以上のスター）に関する脆弱性リサーチ。

---

パターン

3件すべては同じ設計上の欠陥に起因します。バックエンドはリクエストが認証されていることだけを確認し、そのリクエスト内のデータが送信したユーザーに属しているかどうかは確認しません。

45746 — sessionId はクライアントから送信され、連番になっています。1を2に変えるだけで、別のユーザーのSSHセッションにアクセスできます。

45750 — path は echo "${escapedPath}" に到達します。エスケープされるのは二重引用符のみなので、$(...) は生き残り、実行されます。

53547 — エクスポートは、パスワードリセットコードが保存されているグローバル設定テーブルとともに、ユーザー自身の行を返します。

連鎖すると、単独よりも重大です。45750単体では自分のサーバー上でコマンドを実行するだけですが、45746と組み合わせると、他人のサーバー上で実行できます。

クレジット

• Gabriel Hinostroza
• Camilo G. (Dédalo) — CVE-2026-45746 の共同研究者