pracharapol/cve-2025-45960إثبات المفهوم لثغرة البرمجة النصية عبر المواقع المخزنة (XSS) في تيوك.تو (tawk.to) للدردشة المباشرة الإصدار 1.6.1، والتي توضح حقن JavaScript عبر حقول إدخال الدردشة غير المنقاة.
تم اكتشاف أن تطبيق الويب يخزن ويعرض المدخلات المقدمة من المستخدم دون التحقق المناسب من الإدخال أو الترميز. مما يؤدي إلى تخزين كود ضار على الخادم ثم عرضه لاحقًا لمتصفح المستخدم دون تنقية مناسبة. على سبيل المثال، تمكن المختبر من تخزين كود جافاسكريبت ضار في الشات المباشر ويمكن تنفيذه على الموقع الإلكتروني.
يسمح للمهاجمين بحقن كود ضار في المتغير بالنظام، وربما يضر بمستخدمي تطبيق الويب إذا قام المستخدم بالوصول إلى صفحة الويب التي خُزّن فيها الكود الضار. على سبيل المثال، سرقة المعلومات الحساسة، هجمات التصيد، الإضرار بسمعة العلامة التجارية.
كشف اختبارنا أن حقل إدخال الدردشة يفتقر إلى التحقق الكافي من الإدخال، مما يسمح للمختبرين بحقن وسوم HTML تحتوي على كود جافاسكريبت. عند النقر على هذا الوسم من قبل المستخدم، يتم تنفيذ كود الجافاسكريبت المضمن في سياق متصفح المستخدم. يؤكد هذا السلوك وجود ثغرة تخزين البرمجة النصية عبر المواقع (Stored XSS).
Payload: <img src="https://raw.githubusercontent.com/pracharapol/cve-2025-45960/main/x" onclick='alert(document.domain)'>
