漏洞标题：LiveHelperChat <=4.61 - 通过部门分配别名昵称字段的存储型跨站脚本（XSS）

日期：2025年9月6日

漏洞作者：Manojkumar J (TheWhiteEvil)

LinkedIn：https://www.linkedin.com/in/manojkumar-j-7ba35b202/

厂商主页：https://github.com/LiveHelperChat/livehelperchat/

软件链接：

https://github.com/LiveHelperChat/livehelperchat/

版本：<=4.61

补丁版本：4.61

类别：Web 应用

测试环境：Mac OS Sequoia 15.5, Firefox

CVE：CVE-2025-51403

漏洞利用链接：https://github.com/Thewhiteevil/CVE-2025-51403

参考：https://livehelperchat.com/4.61v-security-fixes-724a.html

https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

低权限用户/操作员在分配或编辑部门访问权限时，将恶意 JavaScript 载荷注入到部门分配的“别名昵称”字段中。当高权限用户（例如管理员或操作员）编辑部门分配的“别名昵称”字段时，存储的脚本将在其浏览器上下文中执行。

复现步骤：

1. 以操作员身份登录。

2. 导航至您的部门分配设置页面。

3. 在“别名昵称”字段中，输入以下载荷：

   "><img src="https://raw.githubusercontent.com/thewhiteevil/cve-2025-51403/main/x" onerror="prompt(1);">

4. 保存更改。

5. 重新访问部门分配设置页面并编辑别名昵称字段，跨站脚本（XSS）将执行。