漏洞标题：LiveHelperChat <=4.61 - 通过Facebook集成页面名称字段的存储型跨站脚本漏洞（XSS）

日期：09/06/2025

漏洞作者：Manojkumar J (TheWhiteEvil)

LinkedIn：https://www.linkedin.com/in/manojkumar-j-7ba35b202/

厂商主页：https://github.com/LiveHelperChat/livehelperchat/

软件链接：

https://github.com/LiveHelperChat/livehelperchat/

版本：<=4.61

补丁版本：4.61

类别：Web应用程序

测试环境：Mac OS Sequoia 15.5, Firefox

CVE：CVE-2025-51398

漏洞链接：https://github.com/Thewhiteevil/CVE-2025-51398

参考：https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

Live Helper Chat 版本 ≤ 4.61 中存在一个存储型跨站脚本（XSS）漏洞，攻击者可通过向 Facebook 页面集成名称字段注入精心构造的有效载荷来执行任意 JavaScript。当高权限用户（如管理员）访问或编辑集成设置时，该有效载荷会被存储并执行，从而导致存储型跨站脚本攻击（XSS）。

复现步骤：

1. 以操作员身份登录。

2. 导航至您的 Facebook 页面集成。

3. 创建新的 Facebook 页面集成，在 Facebook 页面集成名称字段中输入以下有效载荷：

4. "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51398/main/x" onerror="prompt(1);">

5. 保存更改。

6. 当高权限用户（如操作员或管理员）访问或编辑 Facebook 页面集成时，该有效载荷会被存储并执行，从而导致存储型跨站脚本攻击（XSS）。