Weaknesses of type CWE-79

30,295 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-107323MEDIUMGallery PhotoBlocks 1.3.5 - Contributor+ Stored XSSEPSS 0.3%CVE-2025-69386HIGHWordPress RVCFDI para Woocommerce plugin <= 8.1.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-46261MEDIUMWordPress Seriously Simple Podcasting plugin <= 3.9.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-5808MEDIUMopenstatusHQ openstatus Onboarding Endpoint client.tsx cross site scriptingEPSS 0.3%CVE-2025-22994MEDIUMO2OA 9.1.3 is vulnerable to Cross Site Scripting (XSS) in Meetings - Settings.EPSS 0.3%CVE-2025-53822MEDIUMWeGIA vulnerable to Reflected Cross-Site Scripting in endpoint 'relatorio_geracao.php' parameter 'tipo_relatorio'EPSS 0.3%CVE-2026-13726HIGHMultiple Page Generator Plugin – MPG < 4.1.8 - Reflected XSS via mpg_shortcodeEPSS 0.3%CVE-2025-13181MEDIUMpojoin h3blog add cross site scriptingEPSS 0.3%CVE-2025-15095MEDIUMpostmanlabs httpbin core.py cross site scriptingEPSS 0.3%CVE-2025-8690MEDIUMSimple Responsive Slider <= 2.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-23516HIGHWordPress Sale with Razorpay plugin <= 1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-23496HIGHWordPress WP FPO plugin <= 1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-29782MEDIUMWeGIA Cross-Site Scripting (XSS) Stored in endpoint `adicionar_tipo_docs_atendido.php` parameter `tipo`EPSS 0.3%CVE-2026-45392HIGHDOM-based XSS in Cribl StreamEPSS 0.3%CVE-2025-23488HIGHWordPress rng-refresh plugin <= 1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-23751HIGHWordPress Data Dash plugin <= 1.2.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-23492HIGHWordPress 淘宝客插件 plugin <= 1.1.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-42523CRITICALJenkins GitHub Plugin 1.46.0 and earlier improperly processes the current job URL as part of JavaScript implementing validation of the featuEPSS 0.3%CVE-2026-6646MEDIUMThe7 <= 14.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode 'link' ParameterEPSS 0.3%CVE-2025-23490HIGHWordPress Browser-Update-Notify plugin <= 0.2.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%