CVE-2026-79761

Termix, platforma do zarządzania serwerami oparta na WWW, w wersjach od 1.7.0 do 1.9.0 zawiera podatność na Stored XSS w komponencie File Manager. Aplikacja nie dezynfekuje zawartości plików SVG przed ich renderowaniem, co pozwala atakującemu, który skompromitował zarządzany serwer SSH, na umieszczenie złośliwego pliku. Podczas podglądu przez użytkownika Termix, plik wykonuje dowolny JavaScript w kontekście aplikacji. Podatność została naprawiona w wersji 1.10.0.

W Termix od wersji 2.4.1 do 2.5.1 uwierzytelniony administrator może zapisać kontrolowane przez atakującego wartości domeny i adresu e-mail przez PATCH /users/acme-ssl-settings, a następnie wywołać ich interpolację do polecenia powłoki certbot przez POST /users/acme-ssl-request. W pliku acme-ssl-routes.ts funkcja child_process.execSync wywołuje /bin/sh -c z tymi wartościami jedynie w cudzysłowach, co pozwala na wykonanie dowolnych poleceń systemowych jako proces backendu Termix. Podatność dotyczy trybów HTTP webroot i DNS Cloudflare challenge, a jej wykorzystanie ujawnia bazy danych Termix, sekrety procesu, przechowywane poświadczenia i dostęp sieciowy. Problem naprawiono w wersji 2.5.1.

Termix przed wersją 2.6.1 zawiera podatność w punkcie końcowym GET /host/db/host/:id/password, która nie weryfikuje własności hosta podczas pobierania poświadczeń. Uwierzytelniony użytkownik może wyliczać identyfikatory hostów i uzyskać poświadczenia SSH lub sudo innych użytkowników.

Termix przed wersją 2.3.2 zawiera podatność w terminalu WebSocket, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wykorzystanie poświadczeń innego użytkownika do połączenia z kontrolowanym przez atakującego serwerem SSH. Może to prowadzić do ujawnienia hasła SSH lub klucza prywatnego.

Termix przed wersją 2.3.2 zawiera podatność w ścieżce usuwania tunelu SSH, która interpoluje dane użytkownika do wzorca polecenia pkill. Uwierzytelniony użytkownik może wstrzyknąć polecenie powłoki, które zostanie wykonane podczas rozłączania tunelu.

Termix to platforma zarządzania serwerami oparta na sieci web, która przed wersją 2.3.2 miała lukę w punkcie końcowym `POST /ssh/tunnel/connect`. Luka ta pozwalała na wstrzyknięcie poleceń systemowych poprzez interpolację pól kontrolowanych przez użytkownika w poleceniu powłoki.

Termix to platforma zarządzania serwerem oparta na sieci, która przed wersją 2.3.2 była podatna na wstrzykiwanie poleceń systemowych w punkcie końcowym GET /ssh/file_manager/ssh/resolvePath. Umożliwia to uwierzytelnionym użytkownikom wykonanie dowolnych poleceń na zdalnym hoście.

Termix przed wersją 2.1.0 zawiera podatność na iniekcję poleceń w endpointach zarządzania kontenerami Docker, gdzie parametr containerId jest bezpośrednio interpolowany do poleceń powłoki, co pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu na zarządzanym serwerze.

Termix w wersjach 1.5.0 i starszych, gdy używany jest z oficjalnym obrazem Docker lub z odwrotnym proxy Nginx, błędnie identyfikuje adres IP klienta jako adres proxy, co powoduje, że metoda isLocalhost zawsze zwraca True. W rezultacie endpoint /ssh/db/host/internal jest dostępny bez logowania i uwierzytelniania, ujawniając zapisane informacje o hostach SSH, w tym adresy, nazwy użytkowników i hasła.

Termix w wersjach od 2.5.0 do 2.5.1 zawiera podatność w punkcie końcowym /homepage/proxy, który przekazuje parametr url do http.get lub https.get bez ograniczeń docelowych. Walidacja URL jest tylko składniowa, co pozwala na żądania do adresów loopback, RFC1918, link-local i metadanych chmury. Uwierzytelniony użytkownik o niskich uprawnieniach może wyeksfiltrować dane wewnętrznych usług i poświadczenia chmury.