漏洞标题：LiveHelperChat <=4.61 - 通过部门分配别名昵称字段的存储型跨站脚本（XSS）

日期：2025年6月9日

漏洞作者：Manojkumar J (TheWhiteEvil)

Linkedin：https://www.linkedin.com/in/manojkumar-j-7ba35b202/

供应商主页：https://github.com/LiveHelperChat/livehelperchat/

软件链接：https://github.com/LiveHelperChat/livehelperchat/

版本：<=4.61

修复版本：4.61

类别：Web应用程序

测试环境：Mac OS Sequoia 15.5, Firefox

CVE：CVE-2025-51403

漏洞利用链接：https://github.com/Thewhiteevil/CVE-2025-51403

参考：https://github.com/LiveHelperChat/livehelperchat/pull/2228/commits/2056503ad96e04467ec9af8d827109b9b9b46223

低权限用户/操作员在分配或编辑部门访问权限时，向部门分配“别名昵称”字段注入恶意JavaScript负载。当高权限用户（例如管理员或操作员）编辑部门分配“别名昵称”字段时，存储的脚本将在其浏览器上下文中执行。

复现步骤：

1. 以操作员身份登录。
2. 导航至部门分配设置页面。
3. 在“别名昵称”字段中输入以下负载：

   1	"><img src="x" onerror="prompt(1);">

4. 保存更改。
5. 重新访问部门分配设置页面并编辑别名昵称字段，跨站脚本（XSS）将执行。