Weaknesses of type CWE-79

30,356 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-48838HIGHWordPress Post SMTP plugin <= 3.6.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-10567MEDIUM1Panel-dev CordysCRM ModuleFormController ModuleFormService.java save cross site scriptingEPSS 0.2%CVE-2025-9858MEDIUMAuto Bulb Finder for WordPress <= 2.8.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-10190MEDIUMWP Easy Toggles <= 1.9.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-91942MEDIUMcrawl4ai before 0.9.3 Cross-Site Scripting via innerHTMLEPSS 0.2%CVE-2019-25390MEDIUMSmoothwall Express 3.1 'interfaces.cgi' Cross-Site ScriptingEPSS 0.2%CVE-2025-64174MEDIUMOpenMage is vulnerable to XSS in Admin NotificationsEPSS 0.2%CVE-2025-8691MEDIUMWP Scriptcase <= 2.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via url ParameterEPSS 0.2%CVE-2025-8398MEDIUMazurecurve BBCode <= 2.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via url ShortcodeEPSS 0.2%CVE-2026-39447HIGHWordPress Simply Schedule Appointments plugin <= 1.6.10.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-8777MEDIUMplanetcalc <= 2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via language ParameterEPSS 0.2%CVE-2025-31011HIGHWordPress SimplyRETS Real Estate IDX plugin <= 3.2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-10196MEDIUMSurveyAnyplace Plugin <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-8623MEDIUMWeedMaps Menu for WordPress <= 1.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via weedmaps_menu ShortcodeEPSS 0.2%CVE-2024-48036MEDIUMWordPress SKT Blocks plugin <= 1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-82796MEDIUMSolarView Compact contains a cross-site scripting vulnerability in Image Management. If this vulnerability is exploited, an arbitrary OS comEPSS 0.2%CVE-2026-0608MEDIUMHead Meta Data <= 20251118 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post MetaEPSS 0.2%CVE-2026-0690MEDIUMFlatPM – Ad Manager, AdSense and Custom Code <= 3.2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Post MetaEPSS 0.2%CVE-2026-82767MEDIUMCross-site scripting vulnerability exists in SGA1000. If this vulnerability is exploited, an arbitrary script may be executed on a logged-inEPSS 0.2%CVE-2024-35782MEDIUMWordPress Cowidgets – Elementor Addons plugin <= 1.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%