Weaknesses of type CWE-79

30,306 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-65592HIGHn8n before 1.123.64 Stored DOM XSS via cachedResultUrlEPSS 0.2%CVE-2021-47962MEDIUMSavsoft Quiz 5.0 Persistent Cross-Site Scripting via User SettingsEPSS 0.2%CVE-2024-13237MEDIUMFile Entity (fieldable files) - Moderately critical - Cross Site Scripting, Access bypass - SA-CONTRIB-2024-001EPSS 0.2%CVE-2025-61797MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2026-4080MEDIUMEasy Cart <= 1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-56358MEDIUMn8n - Stored Cross-Site Scripting in Form Trigger NodeEPSS 0.2%CVE-2026-33303MEDIUMOpenEMR Vulnerable to Stored XSS via Unescaped portal_login_username in Credential Print ViewEPSS 0.2%CVE-2026-1302MEDIUMMeta-box GalleryMeta <= 3.0.1 - Authenticated (Editor+) Stored Cross-Site Scripting via Image CaptionEPSS 0.2%CVE-2026-56731HIGHZammad: Cross-Site Scripting in Ticket NotificationsEPSS 0.2%CVE-2026-41929MEDIUMVvveb < 1.0.8.2 Unauthenticated Reflected XSS via Visual EditorEPSS 0.2%CVE-2020-37235MEDIUMWordPress Theme Wibar 1.1.8 Stored Cross-Site Scripting via Brand ComponentEPSS 0.2%CVE-2025-10837MEDIUMcode-projects Simple Food Ordering System order.php cross site scriptingEPSS 0.2%CVE-2020-37240MEDIUMQueue Management System 4.0.0 Stored XSS via Add UserEPSS 0.2%CVE-2025-26756HIGHWordPress Magic the Gathering Card Tooltips plugin <= 3.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-62990HIGHShopper: same-origin SVG and HTML uploads enable stored XSS and persistent administrator creationEPSS 0.2%CVE-2026-23725MEDIUMWeGIA Stored Cross-Site Scripting (XSS) – nome Parameter on Adopters Information PageEPSS 0.2%CVE-2026-110849HIGHn8n before 1.123.83, 2.41.4, and 2.42.1 Stored XSS via Binary-Data File PreviewEPSS 0.2%CVE-2026-1754MEDIUMpersonal-authors-category <= 0.3 - Reflected Cross-Site ScriptingEPSS 0.2%CVE-2026-40497HIGHFreeScout Vulnerable to CSS Injection via Stored Style Tag in Mailbox Signature (CSRF Token Exfiltration)EPSS 0.2%CVE-2024-13298MEDIUMTarte au Citron - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-064EPSS 0.2%