Lien du logiciel:

https://github.com/LiveHelperChat/livehelperchat/

Version: <=4.61

Version corrigée: 4.61

Catégorie: Application Web

Testé sur: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51398

Lien de l'exploit: https://github.com/Thewhiteevil/CVE-2025-51398

Référence: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Une vulnérabilité de cross-site scripting (XSS) stocké dans Live Helper Chat version ≤ 4.61 permet à des attaquants d'exécuter du JavaScript arbitraire en injectant une charge utile spécialement conçue dans le champ Nom de l'intégration de page Facebook. La charge utile est stockée puis exécutée lorsque des utilisateurs disposant de privilèges plus élevés (par exemple, les administrateurs) accèdent aux paramètres d'intégration ou les modifient, ce qui entraîne un cross-site scripting (XSS) stocké.

Étapes de reproduction:

1. Connectez-vous en tant qu'opérateur.

2. Accédez à l'intégration de votre page Facebook.

3. Créez une nouvelle intégration de page Facebook et saisissez la charge utile suivante dans le champ Nom de l'intégration de page Facebook:

4. "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51398/main/x" onerror="prompt(1);">

5. Enregistrez les modifications.

6. La charge utile est stockée et exécutée lorsque des utilisateurs disposant de privilèges plus élevés (par exemple, opérateur ou administrateurs) accèdent à l'intégration de page Facebook ou la modifient, ce qui entraîne un cross-site scripting (XSS) stocké.