Titolo Exploit: LiveHelperChat <=4.61 - Cross Site Scripting Memorizzato (XSS) tramite Campo Nome Pagina Integrazione Facebook

Data: 09/06/2025

Autore Exploit: Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Homepage del Venditore: https://github.com/LiveHelperChat/livehelperchat/

Link Software:

https://github.com/LiveHelperChat/livehelperchat/

Versione: <=4.61

Versione Corretta: 4.61

Categoria: Applicazione Web

Testato su: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51398

Link Exploit: https://github.com/Thewhiteevil/CVE-2025-51398

Riferimento: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Una vulnerabilità di cross-site scripting (XSS) memorizzata in Live Helper Chat versione ≤ 4.61 consente agli attaccanti di eseguire JavaScript arbitrario iniettando un payload appositamente predisposto nel campo Nome dell'integrazione della pagina Facebook. Il payload viene memorizzato ed eseguito quando utenti con privilegi elevati (ad esempio amministratori) accedono o modificano le impostazioni dell'integrazione, causando un Cross Site Scripting (XSS) memorizzato.

Passaggi di riproduzione:

1. Accedi come operatore.

2. Vai all'integrazione della tua pagina Facebook.

3. Crea una nuova integrazione della pagina Facebook, inserisci il seguente payload nel campo Nome dell'integrazione della pagina Facebook:

4. "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51398/main/x" onerror="prompt(1);">

5. Salva le modifiche.

6. Il payload viene memorizzato ed eseguito quando utenti con privilegi elevati (ad esempio operatori o amministratori) accedono o modificano l'integrazione della pagina Facebook, causando un Cross Site Scripting (XSS) memorizzato.