CVE-2026-79759

Termix w wersjach od 2.5.0 do 2.5.1 zawiera podatność w punkcie końcowym /homepage/proxy, który przekazuje parametr url do http.get lub https.get bez ograniczeń docelowych. Walidacja URL jest tylko składniowa, co pozwala na żądania do adresów loopback, RFC1918, link-local i metadanych chmury. Uwierzytelniony użytkownik o niskich uprawnieniach może wyeksfiltrować dane wewnętrznych usług i poświadczenia chmury.

Termix od wersji 2.4.0 do 2.5.1 wymagał wyłącznie hasła jako czynnika ponownego uwierzytelnienia w endpointach wyłączania TOTP i generowania kodów zapasowych. Zmiany z refaktoryzacji cofnęły zabezpieczenie dwuskładnikowe, przez co atakujący mający sesję ofiary i znający hasło może wyłączyć 2FA bez dostępu do autentykatora.

Termix od wersji 1.7.0 do 2.5.1 wyprowadzał klucze do owijania DEK użytkowników OIDC i WebAuthn z domyślnych, zakodowanych na stałe ciągów oraz publicznego userId salt. Atakujący posiadający offline'ową kopię bazy SQLite może wyprowadzić klucz i odszyfrować zapisane hasła SSH, klucze prywatne i passphrase.

Termix w wersjach od 1.7.0 do 2.5.1 w procesie wdrażania kluczy SSH tworzy wzorzec grep z danych kontrolowanych przez użytkownika i wstawia go do poleceń powłoki wykonywanych na zdalnym hoście. Uwierzytelniony użytkownik może wstrzyknąć polecenia powłoki i wykonać je z uprawnieniami wybranego konta zdalnego. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 2.5.0 do 2.5.1 pozwala uwierzytelnionym użytkownikom skonfigurować kanały powiadomień webhook lub ntfy z adresami URL kontrolowanymi przez atakującego i wywołać żądania po stronie serwera przez endpoint testowy. Brak listy dozwolonych adresów i blokowania adresów prywatnych umożliwia żądania do wewnętrznych usług HTTP. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 1.8.0 do 2.5.1 pozwala uwierzytelnionym użytkownikom na dostęp do API statystyk serwera bez autoryzacji per host. Endpointy GET /status, GET /status/:id oraz POST /clear-connections ujawniają stan hostów i pozwalają zwykłemu użytkownikowi wyczyścić globalną pulę połączeń SSH. Problem naprawiono w wersji 2.5.1.

Termix to platforma zarządzania serwerem, która przed wersją 2.3.2 akceptowała hasło konta jako jedyny czynnik uwierzytelniający dla operacji krytycznych związanych z MFA. Atakujący, który zdobędzie hasło użytkownika, może całkowicie wyłączyć TOTP lub wygenerować kody zapasowe, co czyni uwierzytelnianie dwuskładnikowe nieskutecznym.

Termix to platforma zarządzania serwerem oparta na sieci web, która przed wersją 2.3.2 miała 16 punktów końcowych menedżera plików, które nie weryfikowały, czy użytkownik żądający dostępu posiada sesję SSH identyfikowaną przez `sessionId`. Uwierzytelniony atakujący, który zna lub zgaduje aktywne `sessionId` innego użytkownika, może uzyskać dostęp do plików na zdalnym hoście SSH ofiary.

Termix, platforma do zarządzania serwerami oparta na WWW, w wersjach od 1.7.0 do 1.9.0 zawiera podatność na Stored XSS w komponencie File Manager. Aplikacja nie dezynfekuje zawartości plików SVG przed ich renderowaniem, co pozwala atakującemu, który skompromitował zarządzany serwer SSH, na umieszczenie złośliwego pliku. Podczas podglądu przez użytkownika Termix, plik wykonuje dowolny JavaScript w kontekście aplikacji. Podatność została naprawiona w wersji 1.10.0.

W Termix od wersji 2.4.1 do 2.5.1 uwierzytelniony administrator może zapisać kontrolowane przez atakującego wartości domeny i adresu e-mail przez PATCH /users/acme-ssl-settings, a następnie wywołać ich interpolację do polecenia powłoki certbot przez POST /users/acme-ssl-request. W pliku acme-ssl-routes.ts funkcja child_process.execSync wywołuje /bin/sh -c z tymi wartościami jedynie w cudzysłowach, co pozwala na wykonanie dowolnych poleceń systemowych jako proces backendu Termix. Podatność dotyczy trybów HTTP webroot i DNS Cloudflare challenge, a jej wykorzystanie ujawnia bazy danych Termix, sekrety procesu, przechowywane poświadczenia i dostęp sieciowy. Problem naprawiono w wersji 2.5.1.