Título del Exploit: LiveHelperChat <=4.61 - Cross-Site Scripting Almacenado (XSS) a través del Apellido del Operador

Fecha: 09/06/2025

Autor del Exploit: Manojkumar J (TheWhiteEvil)

LinkedIn: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Página del Proveedor: https://github.com/LiveHelperChat/livehelperchat/

Enlace del Software:

https://github.com/LiveHelperChat/livehelperchat/

Versión: <=4.61

Versión Parcheada: 4.61

Categoría: Aplicación Web

Probado en: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51397

Enlace del Exploit: https://github.com/Thewhiteevil/CVE-2025-51397

Referencia: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Una vulnerabilidad de cross-site scripting almacenado (XSS) en Live Helper Chat versión ≤ 4.61 permite a los atacantes ejecutar JavaScript arbitrario inyectando un payload manipulado en el campo Apellido del Operador. Este payload se almacena y posteriormente se ejecuta cuando un administrador o un usuario con mayores privilegios visualiza la Lista de Destinatarios donde el atacante aparece como Propietario.

Pasos de Reproducción:

1. Inicia sesión como operador.

2. Navega hasta el campo Apellido del Operador.

3. Crea un nuevo Apellido de Operador o modifica el Apellido del Operador, e ingresa el siguiente payload:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51397/HEAD/x" onerror="prompt(1);">

4. Guarda los cambios.

5. Este payload se almacena y posteriormente se ejecuta cuando un administrador o un usuario con mayores privilegios visualiza la Lista de Destinatarios donde el atacante aparece como Propietario.