Titre de l'exploit : LiveHelperChat <=4.61 - Cross Site Scripting (XSS) stocké via les messages personnels pré-enregistrés (Personal Canned Messages)

Date : 09/06/2025

Auteur de l'exploit : Manojkumar J (TheWhiteEvil)

Linkedin : https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Page d'accueil du fournisseur : https://github.com/LiveHelperChat/livehelperchat/

Lien du logiciel :

https://github.com/LiveHelperChat/livehelperchat/

Version : <=4.61

Version corrigée : 4.61

Catégorie : Application Web

Testé sur : Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51400

Lien de l'exploit : https://github.com/Thewhiteevil/CVE-2025-51400

Référence : https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Une vulnérabilité de cross-site scripting (XSS) stocké dans Live Helper Chat version ≤ 4.61 permet à un attaquant d'exécuter du JavaScript arbitraire en injectant une charge utile spécialement conçue dans les messages personnels pré-enregistrés (Personal Canned Messages). Lorsqu'un administrateur ou un opérateur consulte le message et tente d'envoyer des messages pré-enregistrés, le JavaScript stocké s'exécute dans le contexte de son navigateur.

Étapes de reproduction :

1. Connectez-vous en tant qu'opérateur.

2. Accédez à vos messages personnels pré-enregistrés (Personal Canned Messages).

3. Créez un nouveau message personnel pré-enregistré et saisissez la charge utile suivante :

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51400/HEAD/x" onerror="prompt(1);">

4. Enregistrez les modifications.

5. Essayez d'utiliser le message personnel pré-enregistré : le cross-site scripting (XSS) s'exécutera.