Titolo Exploit: LiveHelperChat <=4.61 - Cross Site Scripting (XSS) persistente tramite il Cognome dell'Operatore

Data: 09/06/2025

Autore dell'Exploit: Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Homepage del fornitore: https://github.com/LiveHelperChat/livehelperchat/

Link del software:

https://github.com/LiveHelperChat/livehelperchat/

Versione: <=4.61

Versione corretta: 4.61

Categoria: Applicazione Web

Testato su: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51397

Link dell'Exploit: https://github.com/Thewhiteevil/CVE-2025-51397

Riferimento: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Una vulnerabilità di Cross Site Scripting (XSS) persistente in Live Helper Chat versione ≤ 4.61 consente a un attaccante di eseguire codice JavaScript arbitrario iniettando un payload appositamente predisposto nel campo Cognome dell'Operatore. Il payload viene memorizzato e successivamente eseguito quando un amministratore o un utente con privilegi più elevati visualizza l'elenco dei destinatari (Recipients List) in cui l'attaccante è indicato come Proprietario (Owner).

Passaggi per la riproduzione:

1. Accedi come operatore.

2. Vai al campo Cognome dell'Operatore.

3. Crea un nuovo Cognome dell'Operatore o modifica quello esistente, inserendo il seguente payload:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51397/HEAD/x" onerror="prompt(1);">

4. Salva le modifiche.

5. Il payload viene memorizzato e successivamente eseguito quando un amministratore o un utente con privilegi più elevati visualizza l'elenco dei destinatari (Recipients List) in cui l'attaccante è indicato come Proprietario (Owner).