رابط البرنامج:

https://github.com/LiveHelperChat/livehelperchat/

الإصدار: <=4.61

الإصدار المُصحَّح: 4.61

الفئة: تطبيق ويب

تم الاختبار على: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51398

رابط الاستغلال: https://github.com/Thewhiteevil/CVE-2025-51398

المرجع: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

تتيح ثغرة تخزين البرمجة النصية عبر المواقع (XSS) في Live Helper Chat الإصدار ≤ 4.61 للمهاجمين تنفيذ جافاسكربت عشوائية عن طريق حقن حمولة معدّة في حقل اسم تكامل صفحة فيسبوك. تُخزَّن الحمولة وتُنفَّذ عندما يصل مستخدمون بصلاحيات أعلى (مثل المشرفين) إلى إعدادات التكامل أو يعدّلونها، مما يؤدي إلى تخزين البرمجة النصية عبر المواقع (XSS).

خطوات إعادة الإنتاج:

1. سجّل الدخول كمشغّل.

2. انتقل إلى تكامل صفحة فيسبوك لديك.

3. أنشئ تكامل صفحة فيسبوك جديدًا، وأدخل الحمولة التالية في حقل اسم تكامل صفحة فيسبوك:

4. "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51398/main/x" onerror="prompt(1);">

5. احفظ التغييرات.

6. تُخزَّن الحمولة وتُنفَّذ عندما يصل المستخدمون ذوو الصلاحيات الأعلى (مثل المشغّل أو المشرفين) إلى تكامل صفحة فيسبوك أو يعدّلونه، مما يؤدي إلى تخزين البرمجة النصية عبر المواقع (XSS).