Exploit Title: LiveHelperChat <=4.61 - Межсайтовый скриптинг (XSS) с сохранением через поле имени страницы интеграции с Facebook

Дата: 09/06/2025

Автор эксплойта: Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

Vendor Homepage: https://github.com/LiveHelperChat/livehelperchat/

Ссылка на ПО:

https://github.com/LiveHelperChat/livehelperchat/

Версия: <=4.61

Исправленная версия: 4.61

Категория: Веб-приложение

Протестировано на: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51398

Ссылка на эксплойт: https://github.com/Thewhiteevil/CVE-2025-51398

Ссылка: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Уязвимость межсайтового скриптинга (XSS) с сохранением в Live Helper Chat версии ≤ 4.61 позволяет злоумышленникам выполнять произвольный JavaScript, внедряя специально созданную полезную нагрузку в поле имени интеграции страницы Facebook. Полезная нагрузка сохраняется и выполняется, когда пользователи с более высокими привилегиями (например, администраторы) получают доступ к настройкам интеграции или редактируют их, что приводит к хранимому межсайтовому скриптингу (XSS).

Шаги воспроизведения:

1. Войдите в систему как оператор.

2. Перейдите к интеграции вашей страницы Facebook.

3. Создайте новую интеграцию страницы Facebook и введите следующую полезную нагрузку в поле имени интеграции страницы Facebook:

4. "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51398/HEAD/x" onerror="prompt(1);">

5. Сохраните изменения.

6. Полезная нагрузка сохраняется и выполняется, когда пользователи с более высокими привилегиями (например, операторы или администраторы) получают доступ к интеграции страницы Facebook или редактируют ее, что приводит к хранимому межсайтовому скриптингу (XSS).