PT-2026-39220 · Termix · Termix

Luke Gus · Publicado 2026-05-08 · Atualizado 2026-06-12 · CVE-2026-42454

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Termix versões anteriores a 2.1.0

Descrição O Termix é uma plataforma de gerenciamento de servidores baseada na web que fornece terminal SSH, tunelamento e capacidades de edição de arquivos. Todos os endpoints de gerenciamento de containers Docker interpolam o parâmetro de caminho de URL containerId e o campo de mensagem WebSocket diretamente em comandos de shell executados via função exec() do ssh2.Client em servidores gerenciados remotamente, sem sanitização ou validação. Um invasor autenticado pode injetar comandos arbitrários do sistema operacional ao criar um ID de container malicioso, resultando em Execução Remota de Código em qualquer servidor gerenciado.

Recomendações Atualizar para a versão 2.1.0.

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-42454

Produtos afetados

Termix

Referências · 11

• https://github.com/Termix-SSH/Termix/releases/tag/release-2.1.0-tag · Nota
• https://github.com/Termix-SSH/Termix/security/advisories/GHSA-c2g2-hqgq-6w9v · Nota
• https://twitter.com/integ_sec/status/2057478648374952029 · Publicação no Twitter
• https://twitter.com/KaitanSecurity/status/2052893830865621463 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2053131405677449295 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42454 · Nota de Segurança
• https://t.me/CVEtracker/53179 · Publicação no Telegram
• https://twitter.com/lyrie_ai/status/2054455854632419460 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2065279464481702168 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054455855416811754 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2052909162787422630 · Publicação no Twitter