CVE-2025-45960 - tawk.to Live chat - 1.6.1 - Уязвимость межсайтового скриптинга (XSS)

Подтверждено на 1.6.1 (более ранние версии, вероятно, также затронуты)

Описание:

Обнаружено, что веб-приложение сохраняет и отображает вводимые пользователем данные без надлежащей проверки ввода и кодирования. Это приводит к хранению вредоносного кода на сервере и его последующему отображению в веб-браузере пользователя без соответствующей очистки. Например, тестировщик мог сохранить вредоносный JavaScript в live-чате, и он может быть выполнен на веб-сайте.

Воздействие:

Позволяет злоумышленникам внедрять вредоносный код в параметр системы и потенциально наносить вред пользователям веб-приложения, если пользователь открывает веб-страницу, на которой хранится вредоносный код. Например, кража конфиденциальной информации, фишинговые атаки, ущерб репутации бренда.

Подтверждение концепции (PoC):

Наше тестирование показало, что поле ввода чата не имеет достаточной проверки ввода, что позволяет тестировщикам внедрять HTML-теги, содержащие JavaScript-код. Когда пользователь нажимает на такой тег, встроенный JavaScript выполняется в контексте браузера пользователя. Такое поведение подтверждает наличие уязвимости хранимого межсайтового скриптинга (Stored XSS).

Payload: <img src="https://raw.githubusercontent.com/pracharapol/cve-2025-45960/HEAD/x" onclick='alert(document.domain)'>