Exploit Title: LiveHelperChat <=4.61 - 텔레그램 봇 사용자명을 통한 저장형 교차 사이트 스크립팅 (XSS)

Date: 09/06/2025

Exploit Author: Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Vendor Homepage: https://github.com/LiveHelperChat/livehelperchat/

Software Link:

https://github.com/LiveHelperChat/livehelperchat/

Version: <=4.61

Patched Version: 4.61

Category: 웹 애플리케이션

Tested on: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51396

Exploit link: https://github.com/Thewhiteevil/CVE-2025-51396

Reference: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Live Helper Chat 버전 ≤ 4.61의 저장형 교차 사이트 스크립팅(XSS) 취약점으로 인해 공격자가 텔레그램 봇 사용자명 매개변수에 조작된 페이로드를 주입하여 임의의 JavaScript를 실행할 수 있습니다. 이 페이로드는 저장된 후 관리자 또는 더 높은 권한을 가진 사용자가 텔레그램 봇 사용자명을 보거나 편집할 때 실행됩니다.

재현 단계:

1. Live Helper Chat에서 운영자 사용자로 로그인합니다.
2. Settings > Live Help Configuration > Telegram Bot으로 이동합니다.
3. Bot Username 필드에 다음 페이로드를 입력합니다:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51396/HEAD/x" onerror="prompt(1);">

4. 설정을 저장합니다.
5. 텔레그램 구성 패널을 다시 방문하면 — 페이로드가 실행됩니다.