Weaknesses of type CWE-79

30,306 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-109590MEDIUMTravelly <= 2.3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width', 'height', and 'zoom' Shortcode AttributesEPSS 0.2%CVE-2023-50366MEDIUMQTS, QuTS heroEPSS 0.2%CVE-2025-8079MEDIUMReflected XSS in Akıllı Ticaret Software Technologies' Smart Trade E-CommerceEPSS 0.2%CVE-2026-42840MEDIUMERPNext 16.16.0 - Stored XSS in POS customer section via unescaped template literalsEPSS 0.2%CVE-2025-25159HIGHWordPress WP doodlez plugin <= 1.0.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2021-47922MEDIUMWordPress Plugin Slider by Soliloquy 2.6.2 Stored XSSEPSS 0.2%CVE-2026-103388MEDIUMMISP Stored Cross-Site Scripting via JavaScript URL in Galaxy Cluster Source FieldEPSS 0.2%CVE-2026-56359MEDIUMn8n - Cross-Site Scripting in Credential Management OAuth2 Authorization URLEPSS 0.2%CVE-2026-8677MEDIUMPrime Elementor Addons <= 1.3.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Widget HTML Tag SettingsEPSS 0.2%CVE-2025-58966HIGHWordPress NEX-Forms LITE plugin < 8.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-60246HIGHWordPress Simple Finance Calculator plugin <= 1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2020-37225MEDIUMPowie's WHOIS Domain Check 0.9.31 Persistent Cross-Site ScriptingEPSS 0.2%CVE-2020-37238MEDIUMCMS Made Simple 2.2.15 Stored XSS via SVG File UploadEPSS 0.2%CVE-2024-13292MEDIUMTooltip - Moderately critical - Cross site scripting - SA-CONTRIB-2024-058EPSS 0.2%CVE-2025-31898HIGHWordPress MediaView plugin <= 1.1.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-11019MEDIUMTotal.js CMS Files Menu cross site scriptingEPSS 0.2%CVE-2025-22575HIGHWordPress SUPER RESPONSIVE SLIDER Plugin <= 1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-23175MEDIUMTecnick - Multiple XSS (CWE-79)EPSS 0.2%CVE-2026-26028MEDIUMCryptPad: Sanitizer Bypass in Diffmarked.js Allows Arbitrary HTML Injection and Potential XSSEPSS 0.2%CVE-2026-25596MEDIUMInvoicePlane has Stored XSS via Product Unit Name in Invoice Item ListEPSS 0.2%