CVE-2025-45960 - tawk.to 在线聊天 - 1.6.1 - 跨站脚本（XSS）漏洞

已在 1.6.1 上确认（旧版本可能受影响）

描述：

发现该 Web 应用在存储和显示用户提供的输入时，未进行充分的输入验证或编码。这导致恶意代码被存储在服务器上，并在未经过适当清理的情况下渲染到用户的 Web 浏览器中。例如，测试人员可以在在线聊天中存储恶意 JavaScript，并可在网站上执行。

影响：

攻击者能够向系统中的参数注入恶意代码，如果用户访问了存储恶意代码的网页，则可能危害 Web 应用的用户。例如窃取敏感信息、钓鱼攻击、损害品牌声誉。

概念验证（PoC）：

我们的测试表明，聊天输入字段缺乏足够的输入验证，使测试人员能够注入包含 JavaScript 代码的 HTML 标签。当用户点击此类标签时，嵌入的 JavaScript 会在用户的浏览器上下文中执行。该行为确认了存储型跨站脚本漏洞的存在。

Payload: <img src="https://raw.githubusercontent.com/pracharapol/cve-2025-45960/main/x" onclick='alert(document.domain)'>