pracharapol/cve-2025-45960tawk.to Live Chat 1.6.1 における保存型クロスサイトスクリプティング（XSS）脆弱性の概念実証であり、サニタイズされていないチャット入力フィールドを介した JavaScript インジェクションを示しています。
このWebアプリケーションは、ユーザー提供の入力を適切な入力検証やエンコーディングを行うことなく保存・表示することが判明しました。これにより、悪意のあるコードがサーバーに保存され、適切なサニタイズ処理なしで後々ユーザーのWebブラウザにレンダリングされることになります。例えば、テスターはライブチャットに悪意のあるJavaScriptを保存でき、それがWebサイト上で実行される可能性があります。
攻撃者がシステム上のパラメータに悪意のあるコードを注入することを可能にし、ユーザーが悪意のあるコードが保存されたWebページにアクセスした場合、Webアプリケーションのユーザーに害を及ぼす可能性があります。例えば、機密情報の窃取、フィッシング攻撃、ブランドの評判の毀損などです。
テストにより、チャット入力フィールドには十分な入力検証がなく、テスターがJavaScriptコードを含むHTMLタグを注入できることが判明しました。ユーザーがそのようなタグをクリックすると、埋め込まれたJavaScriptがユーザーのブラウザコンテキスト内で実行されます。この動作は、保存型クロスサイトスクリプティングの脆弱性の存在を確認するものです。
Payload: <img src="https://raw.githubusercontent.com/pracharapol/cve-2025-45960/main/x" onclick='alert(document.domain)'>
