Exploit Title: LiveHelperChat <=4.61 - Stored Cross Site Scripting (XSS) via Personal Canned Messages

Date: 09/06/2025

Exploit Author: Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Vendor Homepage: https://github.com/LiveHelperChat/livehelperchat/

Software Link:

https://github.com/LiveHelperChat/livehelperchat/

Version: <=4.61

Patched Version: 4.61

Category: Web Application

Tested on: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51400

Exploit link: https://github.com/Thewhiteevil/CVE-2025-51400

Reference: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Live Helper Chat 버전 ≤ 4.61에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재하여, 공격자가 조작된 페이로드를 Personal Canned Messages에 주입해 임의의 JavaScript를 실행할 수 있습니다. 관리자나 운영자가 메시지를 확인하고 캔 메시지를 보내려고 할 때 저장된 JavaScript가 해당 사용자의 브라우저 컨텍스트에서 실행됩니다.

재현 단계:

1. 운영자로 로그인합니다.

2. Personal Canned Messages로 이동합니다.

3. 새 개인 캔 메시지를 만들고 다음 페이로드를 입력합니다:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51400/HEAD/x" onerror="prompt(1);">

4. 변경 사항을 저장합니다.

5. 개인 캔 메시지를 사용하려고 하면 크로스 사이트 스크립팅(XSS)이 실행됩니다.