„`html
Zusammenfassung
Die Schwachstelle CVE-2019-25737 ist eine Stored Cross-Site Scripting (XSS) Vulnerability in Live Chat Unlimited Version 2.8.3. Sie ermöglicht es unauthentifizierten Angreifern, persistente malware-ähnliche Skripte über das Chat-Eingabefeld einzuschleusen. Die gespeicherten Payloads werden bei jedem Abruf durch Administratoren ausgeführt, was zu kritischen Sicherheitsrisiken führt.
Betroffene Systeme
Live Chat Unlimited Version 2.8.3 und möglicherweise frühere Versionen sind anfällig. Das Plugin wird in verschiedenen Content-Management-Systemen und Website-Plattformen eingesetzt. Eine vollständige Inventarisierung betroffener Installationen ist notwendig.
Technische Details
Die Vulnerability liegt in der unzureichenden Input-Validierung des Chat-Eingabefelds. Angreifer können Script-Tags und Event-Handler (wie onclick, onload, onerror) direkt in die Chat-Nachrichten einfügen. Der Server speichert diese Eingaben ohne Sanitization in der Datenbank. Bei der Darstellung im Admin-Bereich werden die Skripte vom Browser ausgeführt, da keine Content Security Policy implementiert ist.
Mögliche Exploit-Szenarien umfassen Session-Cookie-Diebstahl durch `document.cookie`-Zugriffe, automatische Weiterleitungen zu Phishing-Seiten oder das Injizieren zusätzlicher Malware. Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.
Empfohlene Massnahmen
- Sofort: Deaktivieren Sie Live Chat Unlimited 2.8.3 oder setzen Sie es offline
- Alle in der Chat-Historie gespeicherten Nachrichten bereinigen oder exportieren
- Admin-Sessions invalidieren und Passwörter zurücksetzen
- WAF-Regeln implementieren, um Script-Tag-Injektionen zu blockieren
- Monitoring auf verdächtige Admin-Aktivitäten durchführen
- Warten auf offizielle Patches oder Alternativsoftware evaluieren
Bewertung
CVSS 7.2 (High): Die Kombination aus Stored XSS, fehlendem Authentifizierungserfordernis und Admin-Zugriff stellt ein erhebliches Risiko dar. Ein Patch ist aktuell nicht verfügbar, weshalb präventive Maßnahmen kritisch sind.
„`