Exploit-Titel: LiveHelperChat <=4.61 - Gespeichertes Cross-Site-Scripting (XSS) über Operator-Nachnamen

Datum: 09/06/2025

Exploit-Autor: Manojkumar J (TheWhiteEvil)

LinkedIn: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Anbieter-Homepage: https://github.com/LiveHelperChat/livehelperchat/

Software-Link:

https://github.com/LiveHelperChat/livehelperchat/

Version: <=4.61

Gepatchte Version: 4.61

Kategorie: Webanwendung

Getestet auf: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51397

Exploit-Link: https://github.com/Thewhiteevil/CVE-2025-51397

Referenz: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Eine gespeicherte Cross-Site-Scripting (XSS)-Schwachstelle in Live Helper Chat Version ≤ 4.61 ermöglicht es Angreifern, beliebiges JavaScript auszuführen, indem sie eine manipulierte Nutzlast in das Feld „Operator-Nachname“ einschleusen. Diese Nutzlast wird gespeichert und später ausgeführt, wenn ein Administrator oder ein Benutzer mit höheren Berechtigungen die Empfängerliste ansieht, in der der Angreifer als Besitzer aufgeführt ist.

Reproduktionsschritte:

1. Melden Sie sich als Operator an.

2. Navigieren Sie zu Ihrem Feld „Operator-Nachname“.

3. Erstellen Sie einen neuen Operator-Nachnamen oder ändern Sie den Operator-Nachnamen und geben Sie die folgende Nutzlast ein:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51397/HEAD/x" onerror="prompt(1);">

4. Speichern Sie die Änderungen.

5. Diese Nutzlast wird gespeichert und später ausgeführt, wenn ein Administrator oder ein Benutzer mit höheren Berechtigungen die Empfängerliste ansieht, in der der Angreifer als Besitzer aufgeführt ist.