Título do Exploit: LiveHelperChat <=4.61 - Cross Site Scripting (XSS) Armazenado via Campo Nome da Integração do Facebook

Data: 09/06/2025

Autor do Exploit: Manojkumar J (TheWhiteEvil)

LinkedIn: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Página do Fornecedor: https://github.com/LiveHelperChat/livehelperchat/

Link do Software:

https://github.com/LiveHelperChat/livehelperchat/

Versão: <=4.61

Versão Corrigida: 4.61

Categoria: Aplicação Web

Testado em: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51398

Link do Exploit: https://github.com/Thewhiteevil/CVE-2025-51398

Referência: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Uma vulnerabilidade de cross-site scripting (XSS) armazenado no Live Helper Chat versão ≤ 4.61 permite que atacantes executem JavaScript arbitrário ao injetar um payload malicioso no campo Nome da integração de página do Facebook. O payload é armazenado e executado quando utilizadores com privilégios mais elevados (por exemplo, administradores) acedem ou editam as configurações de integração, resultando em Cross Site Scripting (XSS) armazenado.

Passos para Reproduzir:

1. Faça login como operador.

2. Navegue até a integração da sua página do Facebook.

3. Crie uma nova integração de página do Facebook e insira o seguinte payload no campo Nome da integração da página do Facebook:

4. "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51398/HEAD/x" onerror="prompt(1);">

5. Salve as alterações.

6. O payload é armazenado e executado quando utilizadores com privilégios mais elevados (por exemplo, operador ou administradores) acedem ou editam a integração da página do Facebook, resultando em Cross Site Scripting (XSS) armazenado.