Weaknesses of type CWE-79

30,356 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-8689MEDIUMElements Plus! <= 2.16.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.2%CVE-2025-8388MEDIUMPowerPack Lite for Elementor <= 2.9.4 - Authenticated (Contributor+) Stored Cross-Site Scripting Via 'cursor_url'EPSS 0.2%CVE-2026-91942MEDIUMcrawl4ai before 0.9.3 Cross-Site Scripting via innerHTMLEPSS 0.2%CVE-2024-30424MEDIUMWordPress Beaver Builder Addons by WPZOOM plugin <= 1.3.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-0690MEDIUMFlatPM – Ad Manager, AdSense and Custom Code <= 3.2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Post MetaEPSS 0.2%CVE-2025-8691MEDIUMWP Scriptcase <= 2.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via url ParameterEPSS 0.2%CVE-2025-3435MEDIUMMangBoard WP <= 1.8.6 - Authenticated (Administrator+) Stored Cross-Site Scripting via Board Header And FooterEPSS 0.2%CVE-2025-69104HIGHWordPress Qreatix theme <= 1.9.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-30970HIGHWordPress Easy Contact plugin <= 0.1.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-30984HIGHWordPress SEO Tools plugin <= 4.0.7 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39447HIGHWordPress Simply Schedule Appointments plugin <= 1.6.10.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-50232MEDIUMLyrion Music Server 9.2.0 Stored XSS via Metadata TagsEPSS 0.2%CVE-2025-22801MEDIUMWordPress Free WooCommerce Theme 99fy Extension plugin <= 1.2.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22813MEDIUMWordPress ChatBot Conversational Forms plugin <= 1.4.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-48036MEDIUMWordPress SKT Blocks plugin <= 1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-35666MEDIUMWordPress Themesflat Addons For Elementor plugin <= 2.1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-10126MEDIUMMyBrain Utilities <= 1.0.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-8777MEDIUMplanetcalc <= 2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via language ParameterEPSS 0.2%CVE-2025-8560MEDIUMFancyTabs <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via title ParameterEPSS 0.2%CVE-2025-9858MEDIUMAuto Bulb Finder for WordPress <= 2.8.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%