Termix 存储型 XSS PoC（GHSA-m3cv-5hgp-hv35）

此仓库包含针对 Termix 中存储型跨站脚本（XSS）漏洞的概念验证（PoC）利用代码，该漏洞可能导致 Electron 环境中的本地文件包含（LFI）和会话劫持。

漏洞详情

• 公告：GHSA-m3cv-5hgp-hv35
• 组件：文件管理器（FileViewer.tsx）
• 根本原因：使用 dangerouslySetInnerHTML 不安全地渲染 SVG 文件。
• 影响：攻击者可通过上传恶意 SVG 文件执行任意 JavaScript。在 Electron 应用中，这允许绕过同源策略（SOP）读取本地文件（LFI）或窃取会话令牌（JWT/Cookies）。

先决条件

• 目标操作系统：Linux / macOS / Windows
• 依赖项：Python 3、Node.js（用于运行目标应用）
• Python 库：requests

设置与安装

1. 安装 Python 依赖：

   root@kitploit:~

   python3 -m venv .venv
   source .venv/bin/activate
   pip3 install requests
   

2. 设置目标应用（Termix）： 确保已解压存在漏洞的 Termix 版本（Release 1.9.0）。 注意：该漏洞利用脚本设计用于 Termix Release 1.7.0 - 1.9.0。

   root@kitploit:~

   wget https://github.com/Termix-SSH/Termix/archive/refs/tags/release-1.9.0-tag.zip
   unzip release-1.9.0-tag.zip
   

   终端 1（后端）：

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm install
   npm run dev:backend
   

   等待后端服务器完全启动。

   终端 2（前端/Electron）：

   root@kitploit:~

   cd Termix-release-1.9.0-tag
   npm run electron:dev
   

   Termix 应用窗口应会打开。

3. 设置 SSH 访问（本机）： 该漏洞利用脚本会连接受害者的 SSH 服务器以上传恶意文件。 请确保 22 端口上运行有 SSH 服务器，或相应调整脚本。 默认配置中使用用户 kali 以及提供的授权密钥（或密码）。

运行漏洞利用

1. 执行漏洞利用脚本： 打开一个新终端并运行：

   root@kitploit:~

   python3 exploit.py --user 'USERNAME' --pass 'PASSWORD'
   

   注意：提供的数据应与默认凭据或你注册的凭据匹配。

2. 触发 XSS：

   • 前往 Termix 应用。
   • 导航至 文件管理器。
   • 进入 /home/kali（或文件上传到的位置）。
   • 点击 cookie_stealer.svg 进行查看。

3. 验证是否成功：

   • 应会出现一个紫色框视觉覆盖层，显示 “SESSION HIJACKED!”。
   • 其中会显示 JWT 令牌（来自 localStorage）和 Cookies。
   • 同时应会弹出提示框，显示“Session Hijacking Successful!”。

漏洞利用代码（exploit.py）

该脚本执行以下操作：

1. 使用 Termix 后端 API 进行身份验证。
2. 创建指向 localhost 的受管 SSH 主机条目（使用生成的 SSH 密钥）。
3. 通过 Termix 的内部 API 连接到 SSH 主机。
4. 上传包含 XSS 载荷的恶意 SVG 文件（cookie_stealer.svg）。
   • 载荷：使用 <foreignObject> 在 SVG 中嵌入 HTML/JS。
   • 向量：<img src="https://raw.githubusercontent.com/themehackers/cve-2026-22804/HEAD/x" onerror="..."> 在渲染时立即触发执行。

---

免责声明：此代码仅用于教育和测试目的。请勿将其用于未经授权或不属于你的系统。