Software Link:

https://github.com/LiveHelperChat/livehelperchat/

Versión: <=4.61

Versión Parcheada: 4.61

Categoría: Aplicación Web

Probado en: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51398

Enlace del Exploit: https://github.com/Thewhiteevil/CVE-2025-51398

Referencia: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en Live Helper Chat versión ≤ 4.61 permite a los atacantes ejecutar JavaScript arbitrario inyectando un payload malicioso en el Campo de Nombre de la integración de la página de Facebook. El payload se almacena y se ejecuta cuando usuarios con mayores privilegios (por ejemplo, administradores) acceden o modifican la configuración de integración, resultando en Cross-Site Scripting (XSS) almacenado.

Pasos de Reproducción:

1. Inicie sesión como operador.

2. Navegue a la integración de su página de Facebook.

3. Cree una nueva integración de página de Facebook, ingrese el siguiente payload en el Campo de Nombre de la integración de la página de Facebook:

4. "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51398/main/x" onerror="prompt(1);">

5. Guarde los cambios.

6. El payload se almacena y se ejecuta cuando usuarios con mayores privilegios (por ejemplo, operadores o administradores) acceden o modifican la integración de la página de Facebook, resultando en Cross-Site Scripting (XSS) almacenado.