Weaknesses of type CWE-79

30,305 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-15149MEDIUMrawchen ecms Add New Product updateProductServlet.java updateProductServlet cross site scriptingEPSS 0.2%CVE-2025-41768MEDIUMBeckhoff: XSS Vulnerability in TwinCAT 3 HMI ServerEPSS 0.2%CVE-2025-4586MEDIUMIRM Newsroom <= 1.2.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'irmcalendarview' ShortcodeEPSS 0.2%CVE-2025-4584MEDIUMIRM Newsroom <= 1.2.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'irmeventlist' ShortcodeEPSS 0.2%CVE-2026-31873NONEUnhead has a Bypass of URI Scheme Sanitization in makeTagSafe via Case-SensitivityEPSS 0.2%CVE-2025-8290MEDIUMList Subpages <= 1.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via title ParameterEPSS 0.2%CVE-2025-3902MEDIUMBlock Class - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-043EPSS 0.2%CVE-2026-73038MEDIUMNodeBB < 4.15.0 Stored XSS via ActivityPub emoji tag.icon.url and tag.nameEPSS 0.2%CVE-2025-12227MEDIUMprojectworlds Gate Pass Management System add-pass.php cross site scriptingEPSS 0.2%CVE-2025-70890MEDIUMA stored cross-site scripting (XSS) vulnerability exists in Cyber Cafe Management System v1.0. An authenticated attacker can inject arbitrarEPSS 0.2%CVE-2025-8624MEDIUMNexa Blocks <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Google Maps WidgetEPSS 0.2%CVE-2026-0557MEDIUMWP Data Access <= 5.5.63 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wpda_app' ShortcodeEPSS 0.2%CVE-2025-13415MEDIUMicret EasyImages SVG Image upload.php cross site scriptingEPSS 0.2%CVE-2026-22491HIGHWordPress My auctions allegro plugin <= 3.6.35 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-1598MEDIUMBdtask Bhojon All-In-One Restaurant Management System User Information profile cross site scriptingEPSS 0.2%CVE-2026-1444MEDIUMiJason-Liu Books_Manager add_book_check.php cross site scriptingEPSS 0.2%CVE-2025-5929MEDIUMThe Countdown <= 2.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via clientId ParameterEPSS 0.2%CVE-2024-13581MEDIUMSimple Charts <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13573MEDIUMZigaform – Form Builder Lite <= 7.4.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-53581MEDIUMWordPress RSS Feed Pro Plugin <= 1.1.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%