Termix PoC хранимого XSS (GHSA-m3cv-5hgp-hv35)

Этот репозиторий содержит Proof of Concept (PoC) эксплойт для уязвимости хранимого межсайтового скриптинга (XSS) в Termix, которая может привести к включению локальных файлов (LFI) в среде Electron и перехвату сеанса.

Детали уязвимости

• Уведомление: GHSA-m3cv-5hgp-hv35
• Компонент: Файловый менеджер (FileViewer.tsx)
• Корневая причина: Небезопасный рендеринг SVG-файлов с помощью dangerouslySetInnerHTML.
• Воздействие: Злоумышленники могут выполнять произвольный JavaScript, загружая вредоносный SVG-файл. В приложении Electron это позволяет обойти SOP для чтения локальных файлов (LFI) или красть токены сеанса (JWT/Cookies).

Предварительные требования

• Целевая ОС: Linux / macOS / Windows
• Зависимости: Python 3, Node.js (для запуска целевого приложения)
• Библиотеки Python: requests

Настройка и установка

1. Установите зависимости Python:

   root@kitploit:~

   python3 -m venv .venv
   source .venv/bin/activate
   pip3 install requests
   

2. Настройте целевое приложение (Termix): Убедитесь, что у вас распакована уязвимая версия Termix (релиз 1.9.0). Примечание: эксплойт предназначен для работы с Termix Release 1.7.0 - 1.9.0.

   root@kitploit:~

   wget https://github.com/Termix-SSH/Termix/archive/refs/tags/release-1.9.0-tag.zip
   unzip release-1.9.0-tag.zip
   

   Терминал 1 (бэкенд):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm install
   npm run dev:backend
   

   Дождитесь полного запуска сервера бэкенда.

   Терминал 2 (фронтенд/Electron):

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm run electron:dev
   

   Должно открыться окно приложения Termix.

3. Настройте SSH-доступ (localhost): Эксплойт подключается к SSH-серверу жертвы, чтобы загрузить вредоносный файл. Убедитесь, что SSH-сервер запущен на порту 22, или измените скрипт соответствующим образом. В конфигурации по умолчанию используется пользователь kali с предоставленным авторизованным ключом (или паролем).

Запуск эксплойта

1. Выполните скрипт эксплойта: Откройте новый терминал и выполните:

   root@kitploit:~

   python3 exploit.py --user 'USERNAME' --pass 'PASSWORD'
   

   Примечание: указанные данные соответствуют учетным данным по умолчанию или тем, которые вы зарегистрировали.

2. Запустите XSS:

   • Перейдите в приложение Termix.
   • Откройте файловый менеджер.
   • Перейдите в /home/kali (или туда, куда был загружен файл).
   • Нажмите на cookie_stealer.svg, чтобы просмотреть его.

3. Проверьте успешность:

   • Должно появиться визуальное наложение (фиолетовое окно) с надписью "SESSION HIJACKED!".
   • Внутри окна будут отображаться JWT-токен (из localStorage) и Cookies.
   • Также должно появиться всплывающее окно alert с сообщением "Session Hijacking Successful!".

Код эксплойта (exploit.py)

Скрипт выполняет следующие действия:

1. Выполняет аутентификацию в API бэкенда Termix.
2. Создает управляемую запись SSH-хоста, указывающую на localhost (с использованием сгенерированных SSH-ключей).
3. Подключается к SSH-хосту через внутренний API Termix.
4. Загружает вредоносный SVG-файл (cookie_stealer.svg), содержащий XSS-пейлоад.
   • Пейлоад: использует <foreignObject> для встраивания HTML/JS внутри SVG.
   • Вектор: <img src="https://raw.githubusercontent.com/themehackers/cve-2026-22804/HEAD/x" onerror="..."> вызывает немедленное выполнение при рендеринге.

---

Отказ от ответственности: Этот код предназначен только для образовательных и тестовых целей. Не используйте его против систем, которыми вы не владеете или на тестирование которых у вас нет разрешения.