چکیده

آسیب‌پذیری بحرانی CVE-2026-45746 در قابلیت فایل منیجر (File Manager) نرم‌افزار Termix به مهاجمان احراز هویت‌ شده اجازه می ‌دهد با دستکاری پارامتر sessionId، کنترل دسترسی را دور زده و به نشست SSH کاربران دیگر دسترسی پیدا کنند. از آنجا که این نشست ‌ها به VPSهای راه دور متصل هستند، مهاجم می‌تواند از قابلیت‌ های فایل منیجر برای دسترسی، تغییر، بارگذاری و اجرای فایل‌ها استفاده کرده و در نهایت منجر به اجرای دستورات دلخواه و اجرای کد از راه دور (RCE) روی سرور قربانی شود.

توضیحات

آسیب‌پذیری CVE-2026-45746 در نرم‌افزار Termix از نوع ضعف در کنترل دسترسی (Improper Access Control) است که مطابق با CWE-284 طبقه ‌بندی می ‌شود و به‌ طور مشخص با CWE-639، یعنی دور زدن مجوزدهی از طریق کلید تحت کنترل کاربر (Authorization Bypass Through User-Controlled Key)، ارتباط دارد. ثبت دو CWE برای این آسیب ‌پذیری به این دلیل است که مشکل امنیتی موجود، هم به ضعف در اعمال کنترل‌ های دسترسی مربوط می ‌شود و هم ناشی از اعتبارسنجی نادرست یک شناسه تحت کنترل کاربر است. در این مورد، Termix درخواست را از یک کاربر احراز هویت ‌شده می ‌پذیرد، اما هنگام پردازش پارامتر sessionId بررسی نمی ‌کند که نشست مشخص ‌شده واقعاً متعلق به همان کاربر باشد. در نتیجه، مهاجم می ‌تواند با تغییر این شناسه، کنترل دسترسی را دور زده و به نشست فعال کاربر دیگری دسترسی پیدا کند. به بیان ساده، Termix هویت کاربر درخواست ‌کننده را تأیید می ‌کند، اما مالکیت منبعی را که کاربر قصد دسترسی به آن را دارد، به ‌درستی اعتبارسنجی نمی ‌کند. در این ساختار، CWE-284 ماهیت کلی ضعف و CWE-639 نحوه بروز آن از طریق sessionId تحت کنترل کاربر را توصیف می‌کنند.

Termix یک پلتفرم تحت وب و خودمیزبان (Self-hosted) برای مدیریت سرورها و اتصال ‌های راه دور است که قابلیت‌ هایی مانند ترمینال SSH، تانلینگ (Tunneling) و مدیریت فایل را ارائه می ‌کند. قابلیت فایل منیجر (File Manager) در Termix برای انجام عملیات روی فایل‌ های میزبان‌ های راه دور از نشست ‌های فعال SSH استفاده می ‌کند. به همین دلیل، هر نشست فایل منیجر به یک اتصال SSH فعال به یک VPS یا سرور راه دور متصل است و دسترسی به آن می ‌تواند امکان تعامل مستقیم با فایل‌ سیستم آن میزبان را فراهم کند. بنابراین، ضعف در کنترل دسترسی نشست ‌ها تنها به خود برنامه Termix محدود نمی ‌شود و در صورت موفقیت حمله، می ‌تواند دسترسی غیرمجاز به فایل ‌ها و منابع سیستم راه دور متصل به نشست را نیز در اختیار مهاجم قرار دهد.

ریشه فنی آسیب‌ پذیری در نحوه پردازش پارامتر sessionId قرار دارد. این پارامتر از سمت کلاینت کنترل می ‌شود، یک مقدار عددی و قابل پیش ‌بینی دارد و در سمت بک ‌اند (Backend) به کاربر احراز هویت‌ شده وابسته نیست. در یک پیاده ‌سازی امن، برنامه باید علاوه بر اعتبارسنجی نشست، مالکیت آن را نیز بررسی کند تا اطمینان حاصل شود sessionId ارسال‌ شده متعلق به همان کاربری است که درخواست را ثبت کرده است. اما در نسخه ‌های آسیب ‌پذیر، بک ‌اند بدون انجام این کنترل مالکیت، sessionId ارسال‌ شده توسط کلاینت را می‌ پذیرد و بر اساس آن نشست مورد نظر را انتخاب می‌ کند. در نتیجه، یک مهاجم دارای حساب کاربری معتبر می ‌تواند مقدار sessionId را تغییر دهد و شناسه نشست فعال کاربر دیگری را در درخواست قرار دهد.

این فرآیند در عمل منجر به ربایش نشست (Session Hijacking) می ‌شود، زیرا مهاجم با جایگزین کردن شناسه نشست قربانی، بدون داشتن مجوز لازم به نشست فعال کاربر دیگر دسترسی پیدا می‌کند و می ‌تواند از قابلیت‌ های مرتبط با آن استفاده کند. از آنجا که نشست فایل منیجر به یک اتصال SSH فعال متصل است، مهاجم می‌تواند از طریق این نشست با فایل ‌سیستم VPS کاربر هدف تعامل داشته باشد. در ادامه، قابلیت ‌هایی مانند executeFile می ‌توانند این دسترسی غیرمجاز را به اجرای کد از راه دور (RCE) روی VPS کاربر هدف تبدیل کنند.

این آسیب‌پذیری به یک Endpoint خاص محدود نیست و چندین مسیر در قابلیت فایل منیجر را تحت تأثیر قرار می ‌دهد. برای مثال، در درخواست GET /ssh/file_manager/ssh/listFiles?sessionId=1&path=/root، مقدار sessionId مشخص می‌کند عملیات روی کدام نشست SSH انجام شود. مهاجم می‌ تواند با تغییر این مقدار و قرار دادن شناسه نشست کاربر دیگر، بدون آنکه مالکیت نشست بررسی شود، اطلاعات فایل‌ های موجود در فایل ‌سیستم میزبان راه دور آن کاربر را دریافت کند. دامنه این آسیب ‌پذیری به مشاهده فایل‌ ها محدود نیست و قابلیت‌ هایی مانند readFile برای خواندن، writeFile برای نوشتن، uploadFile برای بارگذاری، createFile و createFolder برای ایجاد فایل و پوشه، deleteItem برای حذف و renameItem، moveItem و copyItem برای جابه ‌جایی و مدیریت فایل ‌ها را نیز دربر می‌گیرد. همچنین قابلیت changePermissions امکان تغییر مجوزهای فایل و executeFile امکان اجرای فایل روی میزبان راه دور را فراهم می‌کند. مسیرهای دیگری مانند sudo-password، keepalive، identifySymlink، resolvePath، extractArchive و compressFiles نیز به‌عنوان بخشی از سطح حمله این آسیب ‌پذیری معرفی شده ‌اند. بنابراین، مهاجم در صورت دسترسی به sessionId یک نشست دیگر، می‌تواند از طیف گسترده‌ای از قابلیت‌ های فایل منیجر در زمینه نشست کاربر هدف استفاده کند و دامنه دسترسی خود را از مشاهده اطلاعات به تغییر، بارگذاری و اجرای فایل روی سیستم راه دور گسترش دهد.

وجود قابلیت‌ های متعدد در فایل منیجر باعث می‌شود پیامد این آسیب ‌پذیری تنها به دسترسی غیرمجاز به اطلاعات محدود نشود. مهاجم پس از دسترسی به نشست کاربر دیگر می‌تواند فایل ‌های موجود روی VPS مرتبط با آن نشست را مشاهده و بررسی کند و به اطلاعات حساسی مانند اعتبارنامه‌ ها، فایل ‌های پیکربندی و توکن ‌ها دسترسی پیدا کند. همچنین امکان تغییر فایل‌ های موجود و بارگذاری فایل ‌های مخرب روی سیستم وجود دارد. مهم‌تر از همه، قابلیت executeFile به مهاجم اجازه می ‌دهد فایل ‌ها را روی میزبان راه دور اجرا کند. در نتیجه، مهاجم می‌تواند از ضعف موجود در کنترل دسترسی برای دسترسی به نشست SSH کاربر دیگر استفاده کرده و در نهایت به اجرای کد از راه دور (RCE) روی VPS او دست پیدا کند.

این آسیب ‌پذیری از راه دور و از طریق شبکه قابل انجام است و مهاجم برای حمله به دسترسی فیزیکی یا لوکال به سیستم نیاز ندارد. برای اجرای حمله، داشتن یک حساب کاربری معتبر با سطح دسترسی پایین کافی است و مهاجم نیازی به دسترسی مدیریتی ندارد. در این شرایط، مهاجم می‌تواند با تغییر sessionId نشست کاربر دیگر را هدف قرار دهد و به منابع مرتبط با آن دسترسی پیدا کند. در ارزیابی CVSS، این سناریو به تعامل کاربر نیاز دارد و وجود یک نشست فعال برای کاربر هدف از شرایط این سناریوی حمله محسوب می‌شود. از آنجا که نشست ‌های Termix به اتصال ‌های SSH و VPSهای راه دور متصل هستند، پیامد حمله می‌ تواند از خود برنامه فراتر رفته و به فایل ‌ها و منابع سیستم راه دور کاربر هدف نیز برسد.

این آسیب ‌پذیری می ‌تواند هر سه اصل اصلی امنیت اطلاعات را به ‌شدت تحت تأثیر قرار دهد. از نظر محرمانگی (Confidentiality)، مهاجم می ‌تواند به فایل‌ های کاربران دیگر دسترسی پیدا کرده و اطلاعات حساسی مانند اعتبارنامه ‌ها، فایل‌ های پیکربندی و توکن ‌ها را مشاهده کند. از نظر یکپارچگی (Integrity)، امکان نوشتن، تغییر، حذف و بارگذاری فایل به مهاجم اجازه می ‌دهد داده ‌ها و فایل ‌های موجود روی سیستم را دستکاری کند. از نظر دسترس ‌پذیری (Availability) نیز مهاجم می‌تواند با حذف یا تغییر فایل ‌ها، اجرای فایل ‌های مخرب و ایجاد اختلال در منابع میزبان، عملکرد سرویس ‌ها و VPS را مختل کند. این آسیب‌ پذیری در Termix با انتشار نسخه 2.3.2 پچ شده است.

CVSS

Score	Severity	Version	Vector String
9.0	CRITICAL	3.1	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

لیست محصولات آسیب پذیر

Versions	Product
affectedat < 2.3.2	Termix

لیست محصولات بروز شده

Versions	Product
2.3.2 and later	Termix

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Termix-SSH را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

Approx. Usage in .ir Domain via Google (Total Pages)	Search Query (Dork)	Product
7	site:.ir “Termix-SSH”	Termix-SSH

نتیجه گیری

این آسیب‌پذیری با شدت بحرانی (Critical) در قابلیت فایل منیجر نرم‌افزار Termix، امکان دور زدن کنترل دسترسی و ربایش نشست کاربران دیگر را فراهم می‌کند و در صورت سوء استفاده موفق، می‌تواند منجر به دسترسی غیرمجاز به فایل ‌ها، تغییر و بارگذاری فایل و در نهایت اجرای کد از راه دور (RCE) روی VPS کاربر هدف شود. با توجه به شدت آسیب ‌پذیری، انتشار نسخه اصلاحی و پیامدهای احتمالی آن، اجرای اقدامات زیر برای رفع آسیب ‌پذیری و کاهش ریسک سوءاستفاده توصیه می‌شود:

بروزرسانی Termix: نرم‌افزار را در اسرع وقت به نسخه 3.2 یا نسخه ‌های جدیدتر بروزرسانی کنید. نصب نسخه پچ‌ شده، مؤثرترین راهکار برای رفع این آسیب ‌پذیری و جلوگیری از سوءاستفاده از آن است.
اتصال sessionId به کاربر احراز هویت ‌شده در سمت سرور: در سمت سرور باید مشخص شود هر sessionId متعلق به کدام کاربر است و برنامه نباید صرفاً بر اساس شناسه ارسال‌ شده از سوی کلاینت، نشست موردنظر را انتخاب کند.
بررسی مالکیت نشست در هر درخواست: در تمام درخواست‌ هایی که از sessionId استفاده می‌کنند، باید علاوه بر احراز هویت کاربر، مالکیت نشست نیز بررسی شود تا اطمینان حاصل گردد نشست موردنظر به همان کاربری تعلق دارد که درخواست را ارسال کرده است.
مسدودسازی دسترسی به نشست‌ های کاربران دیگر: هرگونه درخواست برای دسترسی به نشستی که متعلق به کاربر احراز هویت ‌شده نیست باید در سمت سرور شناسایی و مسدود شود تا امکان استفاده از sessionId برای دسترسی غیرمجاز به منابع سایر کاربران وجود نداشته باشد.
استفاده نکردن از شناسه‌ های قابل پیش ‌بینی: شناسه‌ های نشست نباید به‌ گونه‌ای تعیین شوند که مهاجم بتواند با حدس زدن یا تغییر آن‌ ها به نشست‌ های کاربران دیگر دسترسی پیدا کند. همچنین، شناسه‌ های نشست باید به ‌صورت تصادفی و غیرقابل پیش ‌بینی انتخاب شوند تا امکان سوء استفاده از آن‌ ها کاهش یابد.
اعمال کنترل‌ های مجوزدهی در تمام Endpoint های فایل منیجر: بررسی‌ های مربوط به احراز هویت و مالکیت نشست باید در تمام Endpoint های فایل منیجر اعمال شوند تا هیچ مسیر یا قابلیتی مانند خواندن، نوشتن، بارگذاری، حذف یا اجرای فایل امکان دور زدن کنترل‌ های دسترسی را فراهم نکند.

اجرای این اقدامات، به ‌ویژه بروزرسانی Termix به نسخه 2.3.2 یا جدیدتر و بررسی مالکیت نشست در سمت سرور، می ‌تواند از دسترسی غیرمجاز به نشست ‌ها و منابع سایر کاربران جلوگیری کرده و ریسک سوءاستفاده و اجرای کد از راه دور (RCE) را کاهش دهد.

امکان استفاده در تاکتیک‌های MITRE ATT&CK (در زمان اجرای حمله)

Initial Access (TA0001)

مهاجم ابتدا باید به رابط Termix دسترسی داشته باشد و طبق بردار CVSS، برای بهره‌ برداری Privileges Required، Low است. پس از احراز هویت با یک حساب دارای سطح دسترسی محدود، مهاجم می‌ تواند از طریق رابط File Manager و دستکاری پارامتر sessionId تلاش کند یک session فعال متعلق به کاربر دیگر را مورد استفاده قرار دهد. این موضوع می ‌تواند به‌ عنوان بخشی از مرحله Initial Access در یک زنجیره حمله در نظر گرفته شود، هرچند خود CVE ایجاد حساب یا دسترسی اولیه به Termix را فراهم نمی‌کند.

Privilege Escalation (TA0004)

مهاجم با سوء استفاده از نقص کنترل دسترسی می ‌تواند از سطح دسترسی حساب خودش فراتر رفته و به File Manager session متعلق به کاربر دیگری دسترسی پیدا کند. اگر session قربانی به یک VPS با سطح دسترسی بالاتر متصل باشد، مهاجم عملاً می‌ تواند از دسترسی آن session برای انجام عملیات روی سیستم مقصد استفاده کند. بنابراین این CVE می‌تواند در یک زنجیره حمله به Privilege Escalation منجر شود؛ البته افزایش دسترسی ناشی از به ‌دست‌ آوردن session قربانی است و نه یک مکانیزم سنتی افزایش سطح دسترسی در سیستم‌عامل.

Lateral Movement (TA0008)

این تاکتیک در سناریویی قابل اعمال است که Termix برای مدیریت چندین VPS یا سیستم راه دور استفاده شود. مهاجم پس از ربایش File Manager session یک کاربر دیگر، می‌تواند از اتصال SSH موجود در آن session برای تعامل با VPS مربوطه استفاده کند. بنابراین آسیب ‌پذیری می‌تواند مسیر حرکت مهاجم از حساب Termix به یک سیستم راه دور مدیریت ‌شده از طریق SSH را فراهم کند.

Execution (TA0002)

پس از دسترسی غیرمجاز به File Manager session قربانی، مهاجم می ‌تواند از قابلیت اجرای فایل و دستور موجود در File Manager برای اجرای عملیات روی VPS متصل ‌شده استفاده کند. در نتیجه، اثر نهایی CVE می‌تواند به Remote Code Execution روی VPS قربانی منجر شود. NVD نیز صراحتاً اعلام می‌کند که قابلیت File Manager شامل file reading، writing، uploading و execution است و سوء استفاده موفق می ‌تواند به اجرای مستقیم دستورات روی VPS دیگر کاربر منجر شود.

Collection (TA0009)

پس از ربایش session، مهاجم می ‌تواند از قابلیت خواندن فایل در File Manager برای دسترسی به فایل‌ های موجود روی VPS استفاده کند. بنابراین در صورت وجود اطلاعات حساس، کلیدهای SSH، فایل‌ های پیکربندی، credential ها یا سایر داده ‌های ارزشمند، مهاجم می ‌تواند از دسترسی ایجاد شده برای جمع ‌آوری آن ‌ها استفاده کند. این قابلیت مستقیماً در سطح File Manager وجود دارد و در توضیح رسمی CVE نیز امکان file reading ذکر شده است.

Impact (TA0040)

بهره ‌برداری موفق می‌ تواند تأثیر کامل Confidentiality، Integrity و Availability داشته باشد. مهاجم پس از دسترسی به session قربانی قادر به خواندن و تغییر فایل‌ ها، آپلود فایل و اجرای دستورات روی VPS متصل ‌شده است.

منابع

گزارش اثبات آسیب‌پذیری CVE-2026-45746

اطلاعات آسیب‌پذیری

عنوان: آسیب‌پذیری بحرانی Termix در برابر اجرای دستورات دلخواه از طریق ربایش نشست

شناسه: CVE-2026-45746

وضعیت مشاوره: Advisory / Patch Available

امتیاز: CVSS: 9 (Critical)

محصول: Termix

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر:

نرم ‌افزار Termix نسخه های قبل از 2.3.2

محیط‌های درگیر

سازمان هایی که Termix را به عنوان پلتفرم مدیریت سرور و SSH برای دسترسی به VPS یا سرورهای خود نصب کردهاند
استقرارهایی که چند کاربر همزمان از File Manager استفاده میکنند
محیط هایی که کاربران دارای سطح دسترسی کم در کنار کاربرانی با VPS و سرورهای حساس قرار دارند
تیم های عملیاتی که فایل های پیکربندی، کلیدها و اسکریپت های حساس را روی سرورهای متصل مدیریت میکنند
استقرارهای Web، Electron و Docker که از نسخه های آسیب پذیر استفاده میکنند

کامپوننت‌های آسیب‌پذیر

تمامی endpointهای زیر داده های نشست را بدون بررسی مالکیت پردازش میکنند
/ssh/file_manager/sudo-password
/ssh/file_manager/ssh/keepalive
/ssh/file_manager/ssh/listFiles
/ssh/file_manager/ssh/identifySymlink
/ssh/file_manager/ssh/resolvePath
/ssh/file_manager/ssh/readFile
/ssh/file_manager/ssh/writeFile
/ssh/file_manager/ssh/uploadFile
/ssh/file_manager/ssh/createFile
/ssh/file_manager/ssh/createFolder
/ssh/file_manager/ssh/deleteItem
/ssh/file_manager/ssh/renameItem
/ssh/file_manager/ssh/moveItem
/ssh/file_manager/ssh/copyItem
/ssh/file_manager/ssh/executeFile
/ssh/file_manager/ssh/changePermissions
/ssh/file_manager/ssh/extractArchive
/ssh/file_manager/ssh/compressFiles

ریشه مشکل (Root Cause Analysis)

ریشه این آسیب پذیری، اعتماد به شناسه نشست (sessionId) کنترل شده توسط کلاینت، بدون اتصال آن به کاربر احرازهویت شده است. پارامتر sessionId سه ویژگی دارد:

کنترل ‌شده توسط کلاینت: مقدار آن مستقیماً از درخواست HTTP خوانده می‌شود.
قابل پیش‌بینی: مقدار آن عددی و ترتیبی است.
نامرتبط با کاربر: در سمت backend به کاربر احراز شده متصل (bind) نشده است.

سرور هنگام دریافت درخواست، نشست مربوط به sessionId را بدون مقایسه userId موجود در JWT با مالک نشست پیدا می‌کند. در نتیجه، هر کاربری که مقدار sessionId معتبر یک نشست فعال را بداند یا حدس بزند، می‌تواند به آن نشست دسترسی پیدا کند. نمونه درخواست آسیب‌پذیر که در advisory ثبت شده است:

GET /ssh/file_manager/ssh/listFiles?sessionId=1&path=/root HTTP/1.1

با تغییر مقدار sessionId، سرور داده‌ های نشست متعلق به کاربر دیگر را بدون هیچ بررسی مالکیتی بازمی‌گرداند.

نشست File Manager به یک اتصال SSH فعال به VPS متصل است. File Manager قابلیت ‌های زیر را روی آن اتصال فراهم می‌کند:

فهرست‌کردن فایل ‌ها و مسیرها (listFiles, resolvePath)
خواندن فایل (readFile)
نوشتن فایل (writeFile)
آپلود فایل (uploadFile)
اجرای فایل (executeFile)
عملیات روی آیتم ‌ها (deleteItem, renameItem, moveItem, copyItem, changePermissions)
استخراج و فشرده ‌سازی (extractArchive, compressFiles)

ادغام نقص کنترل دسترسی با قابلیت executeFile به معنای اجرای مستقیم دستور روی VPS قربانی است.

در نهایت به صورت خلاصه، در گردش عادی، کاربر پس از ورود، یک اتصال SSH تنظیم میکند و File Manager را باز میکند؛ back-end این اتصال را در یک نشست با شناسه عددی نگهداری میکند. چون این شناسه در هیچ مرحله ای با هویت کاربر مقایسه نمی شود، هر کاربر احرازهویت شده دیگری میتواند مقدار آن را تغییر دهد و به نشست فعال کاربر دیگر متصل شود.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

بخش File Manager در نرم افزار Termix در پردازش درخواست ‌های ورودی، پارامتر sessionId را بدون اعتبارسنجی مالکیت می ‌پذیرد. این رفتار نا امن به مهاجم اجازه می ‌دهد تا با دستکاری این شناسه، به نشست ‌های File Manager سایر کاربران دسترسی پیدا کرده و روی سرورهای VPS آن ‌ها فرمان اجرا کند.

نحوه سوءاستفاده مهاجم:

مهاجم به عنوان یک کاربر عادی وارد Termix می شود
قربانی یک نشست File Manager فعال به VPS خود باز میکند
مهاجم مقدار sessionId را در درخواست های File Manager دست کاری می کند
بک اند بدون بررسی مالکیت، نشست قربانی را برمیگرداند
مهاجم فهرست فایل های VPS قربانی را می بیند (listFiles)
در نتیجه RCE روی VPS قربانی محقق می شود

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب ‌پذیری یک نقطه ورود اولیه (Initial Access) و ابزار حرکت جانبی (Lateral Movement) بسیار خطرناک در زنجیره حمله محسوب می‌شود. با توجه به نمره CVSS 9.0 (بحرانی)، ماهیت شبکه ‌ای، نیاز به دسترسی سطح پایین، و تغییر سطح دسترسی (Scope Changed)، مهاجم می‌تواند با یک حساب کاربری محدود، به سرورهای VPS سایر کاربران دسترسی پیدا کند.

پیش‌نیازهای بهره‌برداری (Prerequisites)

وجود دو حساب معتبر در برنامه (حساب مهاجم و حساب قربانی)
فعال بودن اتصال SSH قربانی و باز بودن File Manager
آگاهی مهاجم از مقدار sessionId قربانی یا حدس آن (به دلیل عددی و قابل پیشبینی بودن)
دسترسی مهاجم به endpoint های File Manager
عدم نصب وصله امنیتی و عدم اعمال بروزرسانی ‌های امنیتی

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

هر sessionId را در بک اند به کاربر احراز هویت شده متصل کند
مالکیت نشست را در هر درخواست بررسی کند
نشست های متعلق به کاربر دیگر را رد کند
از شناسه های قابل پیش بینی و قابل شمارش اجتناب کند
بررسی احراز مجوز را روی تمام endpoint های File Manager اعمال کند
عملیات حساس مانند executeFile را به کنترل های اضافی محدود کند
برای نشست ها شناسه های تصادفی و رمزنگاری شده (مانند UUID) تولید کند

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

ارتقای Termix به نسخه 2.3.2 یا بالاتر
تا زمان ارتقا، کاربران موظف شوند نشست های File Manager را پس از کار غیرفعال کنند تا سطح نشست های فعال قابل سوءاستفاده کاهش یابد
بررسی نسخه در تمام استقرارها (Web، Electron و Docker)

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

محدودکردن دسترسی به پنل مدیریتی Termix از طریق شبکه داخلی یا VPN
اعمال سیاست احراز هویت دومرحله ای برای کاربران
ممیزی دسترسی کاربران دارای مجوز File Manager
فعال کردن ثبت لاگ مرکزی برای endpoint های File Manager
اطلاع رسانی به کاربران درباره نگهداری امن نشست ها و گزارش رفتارهای مشکوک

اقدامات بلندمدت برای کاهش ریسک:

بازبینی کد برای الگوی بررسی مالکیت در تمام endpoint های دارای شناسه کاربری
استفاده از کتابخانه های مجوزدهی متمرکز به جای بررسی دستی در هر endpoint
افزودن تست های خودکار امنیتی برای IDOR و Broken Access Control در چرخه توسعه
ممیزی دوره ای امنیتی و تست نفوذ روی پلتفرم مدیریتی

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

دسترسی یک کاربر به endpoint های File Manager با sessionId متفاوت از نشست های متعلق به خودش
الگوهای شمارش شناسه (توالی عددی در sessionId)
درخواست های listFiles، readFile، executeFile با sessionId متغیر از یک کاربر واحد
تلاش برای دسترسی به فایل هایی خارج از الگوی کاری عادی کاربر
اجرای فایل یا تغییر فایل در VPS ها خارج از محدوده تیم مالک
تلاش های مکرر با مقادیر متفاوت sessionId در بازه کوتاه

منابع پیشنهادی برای مانیتورینگ و پایش:

لاگ ‌های دسترسی Termix، برای شناسایی الگوهای sessionId مشکوک
لاگ ‌های دسترسی و احراز هویت پلتفرم Termix
لاگ‌ های احراز هویت SSH (مانند /var/log/auth.log یا /var/log/secure) روی سرورهای VPS هدف
راهکارهای EDR یا HIDS برای پایش تغییرات فایل و اجرای فرآیندهای غیرمجاز روی سرورهای راه دور

واکنش به حادثه (Incident Response)

ایزوله‌سازی فوری سرورهای VPS مشکوک از شبکه برای جلوگیری از گسترش نفوذ
جمع‌ آوری و حفظ لاگ ‌های Termix و لاگ ‌های سیستم ‌عامل سرورهای VPS برای تحلیل فارنزیک
بررسی یکپارچگی فایل ‌های سیستمی و شناسایی هرگونه Backdoor یا اسکریپت مخرب آپلود شده
بازنشانی تمام کلیدهای SSH و اعتبارنامه‌های مرتبط با سرویس Termix
در صورت اثبات نفوذ، سیستم را پاکسازی کرده، حساب ‌های کاربری حساس را بررسی و اعتبارنامه ‌ها را تعویض کنید
مستندسازی کامل حادثه (زمان وقوع، نشانه‌ها، اقدامات انجام‌شده، درس‌آموخته‌ها) و گزارش به مدیریت ارشد و تیم واکنش سریع (CSIRT)

جریان حمله (Attack Flow)

در نمودار زیر (شکل ۱)، در سناریوی زیر، مهاجم با یک حساب کاربری محدود در Termix، با دستکاری sessionId، نشست File Manager کاربر دیگر را ربوده و روی VPS او فرمان اجرا می‌کند.

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است

این آزمایشگاه شامل نسخه آسیب‌پذیر Termixاست
از دو حساب آزمایشی ایزوله استفاده شده است
کاربر A وارد سیستم می‌شود، یک اتصال SSH را پیکربندی می‌کند و مدیریت فایل را باز می‌کند
با رهگیری (Intercept) یک درخواست شناسه sessionId دریافت می شود
کاربر B با یک حساب جداگانه وارد سیستم می‌شود، اتصال SSH خود را پیکربندی می‌کند، مدیریت فایل را باز می‌کند اما این بار درخواست http ارسال شده را رهگیری (Intercept) و مقدار sessionId را با مقدار کاربر A تغییر می دهیم
اجرای PoC در محیط آزمایشگاهی منجر به دسترسی به سرور فایل ‌های متعلق به کاربر A و امکان دسترسی به سیستم فایل از راه دور کاربر دیگر و اجرای مستقیم دستور روی VPS او را فراهم می‌شود.
این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://www.cve.org/CVERecord?id=CVE-2026-45746

https://nvd.nist.gov/vuln/detail/CVE-2026-45746

https://github.com/Termix-SSH/Termix/security/advisories/GHSA-cx2r-843c-vww8

https://cwe.mitre.org/data/definitions/284.html

https://cwe.mitre.org/data/definitions/639.html

Termix

CVE-2026-45746 – Arbitrary Command Execution via Session Hijacking

Affects

Termix (web-based SSH and server management platform)
Versions:
- Termix 2.1.0 through 2.3.1 (inclusive)
- All versions prior to 2.3.2
Components:
- File Manager functionality
- sessionId parameter handler
Functions:
- File Manager session validation logic

NOT VULNERABLE:

Termix version 2.3.2 and later

Description

CVE-2026-45746 is a critical vulnerability in Termix’s File Manager component, discovered by security researchers Gabriel Hinostroza and Camilo G. (Dédalo) .

Termix is a web-based server management platform with SSH terminal, tunneling, and file editing capabilities . The File Manager functionality allows users to manage files on remote VPS instances via SSH connections.

The vulnerability arises from improper validation of the sessionId parameter . The backend trusts a client-controlled identifier without verifying that it belongs to the authenticated user . Because sessionId values are sequential, an attacker can manipulate the value (e.g., changing 1 to 2) to access active File Manager sessions belonging to other users .

Since these sessions are tied to SSH connections to remote VPS instances, exploitation allows unauthorized interaction with another user’s remote filesystem . Because the File Manager exposes functionality such as file reading, writing, uploading, and execution, this vulnerability enables direct command execution on another user’s VPS (RCE) .

The vulnerability stems from a fundamental design flaw: the backend checks that a request is authenticated, but never that the data in that request belongs to the user sending it .

Key technical characteristics:

CWE: CWE-284 (Improper Access Control) , CWE-639 (Authorization Bypass Through User-Controlled Key)
Attack vector: Remote / Network
Authentication required: Yes – attacker must be an authenticated user
User interaction: Required – attacker must have an account and target an active session

Attack Vector

Primary Attack Vector:
Remote / Network (requires authenticated user account)

Attack Scenario:

An attacker creates an account on a vulnerable Termix instance (2.1.0 through 2.3.1) .
The attacker identifies another user with an active File Manager session .
The attacker manipulates the sessionId parameter in a File Manager request (e.g., changing 1 to 2), exploiting the sequential nature of session IDs .
The backend processes the request without verifying that the sessionId belongs to the authenticated attacker .
The attacker gains unauthorized access to the victim’s active File Manager session, which is tied to an SSH connection to the victim’s remote VPS .
The attacker can now read, write, upload, and execute files on the victim’s VPS, achieving remote code execution .

Key Characteristics:

Attribute	Details
Attack Vector	NETWORK
Attack Complexity	LOW
Privileges Required	LOW
User Interaction	REQUIRED
Scope	CHANGED
Confidentiality Impact	HIGH
Integrity Impact	HIGH
Availability Impact	HIGH
Exploit Availability	Yes – PoC available on GitHub
Active Exploitation	Not confirmed – Not listed in CISA KEV

Conditions Affecting Risk:

Multi-user Termix deployments where session isolation is required
Termix instances exposed to the internet or untrusted networks
Users with active File Manager sessions on the platform

Impact

Successful exploitation allows an authenticated attacker to:

Hijack other users’ active File Manager sessions by manipulating the sessionId parameter
Read, write, upload, and delete files on the victim’s remote VPS
Execute arbitrary commands on the victim’s remote VPS (RCE)
Compromise the victim’s VPS with the same privileges as the SSH connection
Chain with other vulnerabilities – CVE-2026-45746 can be chained with CVE-2026-45750 (OS command injection) to execute commands on other users’ servers

Impact Area	Level	Description
Confidentiality	HIGH	Full access to victim’s remote filesystem
Integrity	HIGH	Ability to modify, delete, and execute files on victim’s VPS
Availability	HIGH	Potential to disrupt victim’s VPS operations

Important: The scope is CHANGED because exploitation crosses the trust boundary from the Termix platform into the victim’s external VPS .

Observed Exploitation & Threat Activity

Discovery: Gabriel Hinostroza and Camilo G. (Dédalo)
Public Disclosure: June 5, 2026
Patch Availability: Termix version 2.3.2
Public PoC: Available on GitHub
In-the-Wild Exploitation: Not confirmed – Not listed in CISA KEV catalog
CVSS Score: 9.0 (Critical)

Disclosure Timeline:

Date	Event
June 5, 2026	CVE published and publicly disclosed
June 5, 2026	GitHub Security Advisory GHSA-cx2r-843c-vww8 published
June 2026	PoC available on GitHub

Severity & Metrics

CVSS v3.1 (GitHub CNA): Critical (9.0)
Attack Vector: NETWORK
Attack Complexity: LOW
Privileges Required: LOW
User Interaction: REQUIRED
Scope: CHANGED
Confidentiality Impact: HIGH
Integrity Impact: HIGH
Availability Impact: HIGH

Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Additional Scoring:

CVSS v4.0: 9.4 (Critical)
EPSS Score: 0.39% – 0.4% (moderate probability)
EPSS Percentile: 31%

Relevant CWE:

CWE-284 – Improper Access Control
CWE-639 – Authorization Bypass Through User-Controlled Key

Patch & Vendor Status

Official Patches Available: Yes – Termix version 2.3.2
Vendor: Termix-SSH / Termix
GitHub Security Advisory: GHSA-cx2r-843c-vww8

Fixed Versions:

Version	Status
2.3.2 and later	Fixed
2.1.0 through 2.3.1	Vulnerable

Update Methods:

Deployment Type	Method
Self-hosted (GitHub)	Pull the latest release from `https://github.com/Termix-SSH/Termix` and redeploy
Other deployments	Check with provider for patch availability

Mitigation & Remediation

Immediate Actions

Action	Method
Upgrade Termix to 2.3.2 or later	Pull the latest release from GitHub and redeploy
Restrict Termix access	Limit access to trusted users only – the vulnerability exists in multi-user deployments where session isolation is required
Disable File Manager	If immediate upgrade is not possible, disable the File Manager feature entirely

Critical Reminder: The patch was available on the same day as public disclosure (June 5, 2026) . Organizations should apply the update immediately.

Short-Term Defensive Measures

If patching cannot be applied immediately:

Restrict Termix access to a single trusted user – this mitigates the multi-user attack vector
Monitor for suspicious sessionId manipulation and unauthorized File Manager session activity
Implement network segmentation to limit lateral movement if RCE is achieved
Use VPN or IP whitelisting to restrict access to Termix instances

Important Note: No workaround fully addresses the root cause of this vulnerability. Patching is the only complete mitigation.

Long-term Defensive Measures

Limit Termix access to a managed internal network – avoid exposing the platform to the internet
Implement strong user management – restrict user accounts to authorized personnel only
Monitor Termix logs for unusual session activity
Regularly audit Termix deployments for version compliance
Consider using multi-factor authentication where available

Detection & Monitoring

Recommended Detection Sources:

Source	Purpose
Termix application logs	Monitor for suspicious `sessionId` manipulation
Network monitoring	Detect unauthorized File Manager activity
Vulnerability scanners	Identify outdated Termix versions
SIEM / EDR	Monitor for anomalous SSH connections and command execution

Indicators of Attempted Exploitation:

Unusual File Manager activity from unexpected users
sessionId parameters with sequential values (e.g., changing from 1 to 2)
SSH connections to VPS instances from unexpected sources
Unauthorized file read/write/execute operations on remote VPS

Detection Strategy:

Inventory all Termix instances across your organization
Check versions against patched release:
- Termix: 2.3.2 or later – Not vulnerable
- 2.1.0 through 2.3.1 – Vulnerable – patch immediately
Monitor Termix logs for sequential sessionId manipulation attempts
Review user activity for unauthorized File Manager access

Post-Incident Response

If exploitation is suspected:

Isolate affected Termix instance from the network immediately
Preserve forensic evidence (application logs, network captures, user activity logs)
Identify which sessions were hijacked – check for unusual File Manager activity
Rotate credentials for compromised VPS instances
Audit victim VPS for backdoors – check for unauthorized files, users, and processes
Audit Termix user accounts – review for unauthorized access
Upgrade Termix to version 2.3.2 immediately
Assume full compromise of any VPS that was accessed via hijacked sessions
Document and report findings to internal security teams

For Enterprise Environments:

Apply patches through enterprise deployment tools immediately
Monitor for other compromised systems in the network
Review security monitoring and logging capabilities
Consider a full security review of affected Termix deployments

References

بررسی آماری آسیب پذیری CVE-2026-45746 در کشور ایران

محصول آسیب پذیر: Termix

میزان استفاده در ایران بر اساس سایت های آمار مرتبط با محصول

Termix یک ابزار مدیریت سرور مبتنی بر وب است که برای اتصال و مدیریت سرورهای از راه دور (VPS) از طریق SSH استفاده می‌شود. با توجه به استقبال گسترده از ابزارهای مدیریت سرور در بین مدیران سیستم، توسعه‌دهندگان و شرکت‌های فعال در حوزه فناوری اطلاعات ایران، انتظار می‌رود این پلتفرم کاربران قابل توجهی در کشور داشته باشد.

اگرچه آمار دقیقی از تعداد نصب Termix در ایران در دسترس نیست.

میزان استفاده در ایران بر اساس موتورهای جستجو (بر اساس ایندکس های گوگل در بخش tools)

تعداد در زمان نگارش گزارش

موتور جستجو	Dork	تعداد
Google	site:.ir “Termix” “SSH”	7

وجود نمایندگی در ایران

پلتفرم Termix به عنوان یک پروژه منبع ‌باز (Open Source) در دسترس است. شرکت یا تیم توسعه‌ دهنده آن دفتر رسمی یا نمایندگی در ایران ندارد. کاربران ایرانی برای دریافت به‌روزرسانی‌های امنیتی باید از مخزن رسمی GitHub پروژه استفاده کنند. هیچ گونه پشتیبانی رسمی از طرف شرکت سازنده در کشور وجود ندارد.

میزان استفاده بر اساس گزارشات تحقیقات بازار برای این محصول در ایران

اگرچه آمار رسمی و دقیقی از تعداد سیستم‌های آسیب‌پذیر در ایران وجود ندارد، اما شواهد زیر نشان‌دهنده سطح قابل توجه ریسک است.

کاربرد ابزارهای مدیریت سرور در ایران: ابزارهای مبتنی بر وب برای مدیریت سرورهای SSH در میان جامعه فنی ایران بسیار محبوب هستند. ابزارهایی مانند Termix به دلیل رابط کاربری مناسب و قابلیت ‌های مدیریت فایل، جایگزین مناسبی برای کار با ترمینال خط فرمان محسوب می‌شوند. به نظر می‌رسد با توجه به رشد استفاده از VPS و سرورهای ابری در ایران، تعداد قابل توجهی از مدیران سیستم و توسعه‌دهندگان از این ابزارها استفاده می‌کنند.
تخمین میزان استفاده: با توجه به تعداد کاربران ابزارهای مدیریت سرور در ایران (تخمین زده می‌شود هزاران نفر) و نرخ پایین به‌روزرسانی در بین کاربران، می‌توان تخمین زد که تعداد قابل توجهی از مدیران سیستم و توسعه‌ دهندگان ایرانی که از نسخه ‌های آسیب ‌پذیر Termix استفاده می‌کنند، در معرض این تهدید قرار دارند. این موضوع به ویژه با توجه به اینکه بسیاری از کاربران ممکن است از وجود این آسیب‌ پذیری مطلع نباشند یا بروزرسانی را به تعویق بیندازند، نگران‌کننده است.

منابع

https://github.com/GabrielHA12/Termix-research