Exploit-Titel: LiveHelperChat <=4.61 - Gespeicherte Cross-Site-Scripting (XSS) über Department Assignment Alias Nick Feld

Datum: 09/06/2025

Exploit-Autor: Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Hersteller-Webseite: https://github.com/LiveHelperChat/livehelperchat/

Software-Link:

https://github.com/LiveHelperChat/livehelperchat/

Version: <=4.61

Patch-Version: 4.61

Kategorie: Webanwendung

Getestet auf: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51403

Exploit-Link: https://github.com/Thewhiteevil/CVE-2025-51403

Referenz: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Ein niedrig privilegierter Benutzer/Operator injiziert eine schädliche JavaScript-Nutzlast in das Feld „Alias Nick“ der Abteilungszuweisung, während er den Abteilungszugriff zuweist oder bearbeitet. Wenn ein höher privilegierter Benutzer (z. B. Admin oder Operator) das Feld „Alias Nick“ der Abteilungszuweisung bearbeitet, wird das gespeicherte Skript in seinem Browserkontext ausgeführt.

Reproduktionsschritte:

1. Melden Sie sich als Operator an.

2. Navigieren Sie zu Ihrer Einstellungsseite für die Abteilungszuweisung.

3. Geben Sie im Feld „Alias Nick“ die folgende Nutzlast ein:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51403/HEAD/x" onerror="prompt(1);">

4. Speichern Sie die Änderungen.

5. Besuchen Sie die Einstellungsseite für die Abteilungszuweisung erneut und bearbeiten Sie das Feld „Alias Nick“; das Cross-Site-Scripting (XSS) wird ausgeführt.