Weaknesses of type CWE-79

30,295 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-54078MEDIUMWeGIA Reflected Cross-Site Scripting (XSS) vulnerability in endpoint 'personalizacao_imagem.php' parameter 'err'EPSS 0.3%CVE-2025-22778HIGHWordPress Lijit Search Plugin <= 1.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9735MEDIUMO2OA Personal Profile table cross site scriptingEPSS 0.3%CVE-2025-13182MEDIUMpojoin h3blog addtitle cross site scriptingEPSS 0.3%CVE-2026-22465HIGHWordPress BuddyApp theme <= 1.9.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-23809HIGHWordPress Blue Wrench Video Widget Plugin <= 2.1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-1941MEDIUMWP Event Aggregator <= 1.8.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2025-53233HIGHWordPress Storyform plugin <= 0.6.14 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-22793HIGHWordPress Bold pagos en linea Plugin <= 3.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-32728HIGHParse Server has a stored XSS filter bypass via Content-Type MIME parameter and missing XML extension blocklist entriesEPSS 0.3%CVE-2026-28330MEDIUMSolarWinds Observability Self-Hosted Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2026-104646MEDIUMImage Photo Gallery Final Tiles Grid < 3.6.14 - Contributor+ Stored XSS via Gallery Shortcode AttributesEPSS 0.3%CVE-2026-0873MEDIUMPrivilege Elevation in Ercom Cryptobox administration consoleEPSS 0.3%CVE-2026-12980MEDIUMPost Snippets <= 4.2.4 - Contributor+ Stored XSS via Snippet VariableEPSS 0.3%CVE-2026-88784HIGHWeglot < 6.4.3 - Unauthenticated Stored XSS via Translated Page Link RewritingEPSS 0.3%CVE-2025-3423MEDIUMIBM Aspera Faspex 5 cross-site scriptingEPSS 0.3%CVE-2018-25157MEDIUMPhraseanet 4.0.3 Stored XSS via Document UploadEPSS 0.3%CVE-2025-53237HIGHWordPress WP Wizard Cloak Plugin <= 1.0.1 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-47941MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2026-22440HIGHWordPress Thecs theme <= 1.4.7 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%