Ссылка на ПО:

https://github.com/LiveHelperChat/livehelperchat/

Версия: <=4.61

Исправленная версия: 4.61

Категория: Веб-приложение

Протестировано на: Mac OS Sequoia 15.5, Firefox

CVE : CVE-2025-51403

Ссылка на эксплойт: https://github.com/Thewhiteevil/CVE-2025-51403

Ссылка: https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Пользователь/оператор с низкими привилегиями внедряет вредоносную JavaScript-нагрузку в поле «Alias Nick» при назначении отдела или редактировании доступа к отделу. Когда пользователь с более высокими привилегиями (например, администратор или оператор) редактирует поле «Alias Nick» в назначении отдела, сохранённый скрипт выполняется в контексте его браузера.

Шаги воспроизведения:

1. Войдите в систему как оператор.

2. Перейдите на страницу настроек назначения отдела (Department Assignment).

3. В поле «Alias Nick» введите следующую нагрузку:

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51403/main/x" onerror="prompt(1);">

4. Сохраните изменения.

5. Снова откройте страницу настроек назначения отдела и отредактируйте поле Alias Nick — межсайтовый скриптинг (XSS) выполнится.