Weaknesses of type CWE-79

30,309 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-22762MEDIUMWordPress Octrace Support Pro plugin <= 1.2.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-16068LOWBrizy - Page Builder < 2.8.19 - Author+ Stored XSS via brizy_set_project Global Project Code AssetEPSS 0.2%CVE-2025-27271HIGHWordPress DB Tables Import/Export Plugin <= 1.0.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22804MEDIUMWordPress Author Avatars List/Block plugin <= 2.1.23 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-15675MEDIUMCharitable < 1.8.5.3 - Admin+ Stored XSS via Photo Field ALT TextEPSS 0.2%CVE-2025-15694LOWJoli Table Of Contents 2.0.0 - 2.8.0 - Admin+ Stored XSSEPSS 0.2%CVE-2025-31907HIGHWordPress Team Builder plugin <= 1.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-24885HIGHpwn.college has a XSS on dojo pagesEPSS 0.2%CVE-2024-12921MEDIUMEthereumICO <= 2.4.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via ethereum-ico ShortcodeEPSS 0.2%CVE-2025-54696MEDIUMWordPress WPFunnels plugin <= 3.5.26 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-77506MEDIUMZnuny before LTS 6.5.22 allows AgentTicketEmailResend template XSS.EPSS 0.2%CVE-2025-0879MEDIUMXSS in Shopside Software's Shopside AppEPSS 0.2%CVE-2026-14325LOWDrag and Drop Multiple File Upload for Contact Form 7 < 1.3.9.9 - Admin+ Stored XSS via drag_n_drop_heading_tag SettingEPSS 0.2%CVE-2025-32117HIGHWordPress Widgetize Pages Light plugin <= 3.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-54688MEDIUMWordPress JetEngine Plugin plugin <= 3.7.1.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-22566HIGHWordPress ULTIMATE VIDEO GALLERY Plugin <= 1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-6920MEDIUMStored XSS in NAC Telecommunication's NACPremiumEPSS 0.2%CVE-2025-31625HIGHWordPress Useinfluence plugin <= 1.0.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-14824MEDIUMQuiz And Survey Master < 11.2.2 - Contributor+ Stored XSS via Polar QuestionEPSS 0.2%CVE-2024-13866MEDIUMSimple Notification <= 1.3 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.2%