漏洞标题：LiveHelperChat 4.61 - 通过操作员姓氏的存储型跨站脚本攻击（XSS）
日期：2025年6月9日
漏洞作者：Manojkumar J (TheWhiteEvil)
领英：https://www.linkedin.com/in/manojkumar-j-7ba35b202/
厂商主页：https://github.com/LiveHelperChat/livehelperchat/
软件链接：https://github.com/LiveHelperChat/livehelperchat/
受影响版本：≤4.61
已修复版本：4.61
分类：Web应用程序
测试环境：Mac OS Sequoia 15.5, Firefox
CVE：CVE-2025-51397
漏洞利用链接：https://github.com/Thewhiteevil/CVE-2025-51397
Live Helper Chat 版本 ≤4.61 存在存储型跨站脚本（XSS）漏洞，攻击者可通过向操作员姓氏字段注入特制载荷来执行任意 JavaScript 代码。该载荷会被存储，当管理员或更高权限用户查看将攻击者列为所有者的收件人列表时触发执行。
复现步骤：
- 以操作员身份登录
- 导航至操作员姓氏字段
- 创建新操作员姓氏或修改现有姓氏，输入以下载荷：
1"><img src="x" onerror="prompt(1);"> - 保存更改
- 当管理员或更高权限用户查看将攻击者列为所有者的收件人列表时，该存储的载荷会被执行