Название эксплойта: LiveHelperChat <=4.61 - хранимый межсайтовый скриптинг (XSS) через фамилию оператора

Дата: 09/06/2025

Автор эксплойта: Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Домашняя страница вендора: https://github.com/LiveHelperChat/livehelperchat/

Ссылка на ПО:

https://github.com/LiveHelperChat/livehelperchat/

Версия: <=4.61

Исправленная версия: 4.61

Категория: Веб-приложение

Протестировано на: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51397

Ссылка на эксплойт: https://github.com/Thewhiteevil/CVE-2025-51397

Ссылка: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Уязвимость хранимого межсайтового скриптинга (XSS) в Live Helper Chat версии ≤ 4.61 позволяет злоумышленникам выполнять произвольный JavaScript путём внедрения специально сформированной полезной нагрузки в поле «Фамилия оператора». Эта нагрузка сохраняется и впоследствии выполняется, когда администратор или пользователь с более высокими привилегиями просматривает список получателей, в котором злоумышленник указан как владелец.

Шаги воспроизведения:

1. Войдите в систему как оператор.

2. Перейдите к своему полю «Фамилия оператора».

3. Создайте новую фамилию оператора или измените существующую и введите следующую полезную нагрузку:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51397/HEAD/x" onerror="prompt(1);">

4. Сохраните изменения.

5. Эта полезная нагрузка сохраняется и впоследствии выполняется, когда администратор или пользователь с более высокими привилегиями просматривает список получателей, в котором злоумышленник указан как владелец.