Exploit-Titel: LiveHelperChat <=4.61 – Stored Cross Site Scripting (XSS) über persönliche vorgefertigte Nachrichten (Personal Canned Messages)

Datum: 09/06/2025

Exploit-Autor: Manojkumar J (TheWhiteEvil)

LinkedIn: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Hersteller-Homepage: https://github.com/LiveHelperChat/livehelperchat/

Software-Link:

https://github.com/LiveHelperChat/livehelperchat/

Version: <=4.61

Gepatchte Version: 4.61

Kategorie: Webanwendung

Getestet auf: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51400

Exploit-Link: https://github.com/Thewhiteevil/CVE-2025-51400

Referenz: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Live Helper Chat Version ≤ 4.61 ermöglicht es Angreifern, beliebiges JavaScript auszuführen, indem sie einen manipulierten Payload in die persönlichen vorgefertigten Nachrichten (Personal Canned Messages) einschleusen. Wenn ein Admin- oder Operator-Benutzer die Nachricht anzeigt und versucht, vorgefertigte Nachrichten zu senden, wird das gespeicherte JavaScript im Browserkontext des jeweiligen Benutzers ausgeführt.

Reproduktionsschritte:

1. Melden Sie sich als Operator an.

2. Navigieren Sie zu Ihren persönlichen vorgefertigten Nachrichten.

3. Erstellen Sie eine neue persönliche vorgefertigte Nachricht und geben Sie den folgenden Payload ein:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51400/HEAD/x" onerror="prompt(1);">

4. Speichern Sie die Änderungen.

5. Versuchen Sie, die persönliche vorgefertigte Nachricht zu verwenden; das Cross-Site-Scripting (XSS) wird ausgeführt.