漏洞标题：LiveHelperChat <=4.61 - 通过 Operator Surname（操作员姓氏）实现的存储型跨站脚本（XSS）

日期：09/06/2025

漏洞作者：Manojkumar J (TheWhiteEvil)

Linkedin: https://www.linkedin.com/in/manojkumar-j-7ba35b202/

厂商主页：https://github.com/LiveHelperChat/livehelperchat/

软件链接：

https://github.com/LiveHelperChat/livehelperchat/

版本：<=4.61

已修复版本：4.61

类别：Web 应用程序

测试环境：Mac OS Sequoia 15.5、Firefox

CVE：CVE-2025-51397

漏洞利用链接：https://github.com/Thewhiteevil/CVE-2025-51397

参考：https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Live Helper Chat 版本 ≤ 4.61 存在一个存储型跨站脚本（XSS）漏洞，攻击者可通过向 Operator Surname（操作员姓氏）字段注入特制 payload 来执行任意 JavaScript。该 payload 会被存储，并在管理员或更高权限用户查看攻击者被列为 Owner（所有者）的 Recipients List（接收者列表）时执行。

复现步骤：

1. 以操作员（operator）身份登录。

2. 进入你的 Operator Surname（操作员姓氏）字段。

3. 新建或修改 Operator Surname（操作员姓氏），输入以下 payload：

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51397/HEAD/x" onerror="prompt(1);">

4. 保存更改。

5. 该 payload 会被存储，并在管理员或更高权限用户查看攻击者被列为 Owner（所有者）的 Recipients List（接收者列表）时执行。