Titre de l'exploit : LiveHelperChat <=4.61 - Cross-Site Scripting stocké (XSS) via le nom de famille de l'opérateur

Date : 09/06/2025

Auteur de l'exploit : Manojkumar J (TheWhiteEvil)

LinkedIn : https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Page d'accueil du fournisseur : https://github.com/LiveHelperChat/livehelperchat/

Lien du logiciel :

https://github.com/LiveHelperChat/livehelperchat/

Version : <=4.61

Version corrigée : 4.61

Catégorie : Application Web

Testé sur : Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51397

Lien de l'exploit : https://github.com/Thewhiteevil/CVE-2025-51397

Référence : https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Une vulnérabilité de cross-site scripting stocké (XSS) dans Live Helper Chat version ≤ 4.61 permet à des attaquants d'exécuter du JavaScript arbitraire en injectant une charge utile malveillante dans le champ du nom de famille de l'opérateur. Cette charge utile est stockée puis exécutée lorsqu'un administrateur ou un utilisateur disposant de privilèges supérieurs consulte la liste des destinataires où l'attaquant est répertorié en tant que propriétaire.

Étapes de reproduction :

1. Connectez-vous en tant qu'opérateur.

2. Accédez au champ de votre nom de famille d'opérateur.

3. Créez un nouveau nom de famille d'opérateur ou modifiez le nom de famille d'opérateur, saisissez la charge utile suivante :

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51397/HEAD/x" onerror="prompt(1);">

4. Enregistrez les modifications.

5. Cette charge utile est stockée puis exécutée lorsqu'un administrateur ou un utilisateur disposant de privilèges supérieurs consulte la liste des destinataires où l'attaquant est répertorié en tant que propriétaire.