Weaknesses of type CWE-79

30,301 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-51678MEDIUMWordPress Elo Rating Shortcode plugin <= 1.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-35504MEDIUMA cross-site scripting (XSS) vulnerability in the login page of FineSoft v8.0 allows attackers to execute arbitrary web scripts or HTML via EPSS 0.3%CVE-2024-56242MEDIUMWordPress Arconix Shortcodes plugin <= 2.1.14 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-18312MEDIUMCVE-2026-18312EPSS 0.3%CVE-2026-11757MEDIUMReflected XSS in KA Informatics' Bar Association WebsiteEPSS 0.3%CVE-2024-38722MEDIUMWordPress Job Board Manager plugin <= 2.1.57 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-34563MEDIUMWordPress Gold Addons for Elementor plugin <= 1.2.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-37948MEDIUMWordPress Caxton – Create Pro page layouts in Gutenberg plugin <= 1.30.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-115981MEDIUMphpIPAM index.php cross site scriptingEPSS 0.3%CVE-2026-84774MEDIUMWordPress WP Statistics plugin <= 14.16.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-33994HIGHCross-Site Scripting (XSS) vulnerability in Janobe School Event Management SystemEPSS 0.3%CVE-2024-34789MEDIUMWordPress Post Grid Elementor Addon plugin <= 2.0.16 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-5953MEDIUMReflected XSS in Ceviz Informatics's Web DesignEPSS 0.3%CVE-2024-43263MEDIUMWordPress Visual Composer Starter theme <= 3.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-70382MEDIUMStored Cross-Site Scripting in Web InterfaceEPSS 0.3%CVE-2026-81160MEDIUMSlick Carousel - Moderately critical - Cross Site Scripting - SA-CONTRIB-2026-117EPSS 0.3%CVE-2026-14207MEDIUMLifterLMS < 10.0.10 - Instructor+ Stored XSS via Featured Pricing InformationEPSS 0.3%CVE-2026-8403MEDIUMStored XSS in Exagate's SYSGUARD 6001EPSS 0.3%CVE-2026-92212MEDIUMJetFormBuilder <= 3.6.5.3 - Reflected Cross-Site Scripting via 'jfb_xss' (URL Query Variable) Parameter via Calculated FieldEPSS 0.3%CVE-2026-9066MEDIUMWP Compress < 7.10.04 - Reflected XSS via test_zoneEPSS 0.3%