Weaknesses of type CWE-79

30,469 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-48535MEDIUMGFI Archiver < 15.13 Stored XSS via CallHomeSettingsWizard.aspxEPSS 0.2%CVE-2026-2434MEDIUMPz-LinkCard <= 2.5.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2024-37229MEDIUMWordPress Blogmentor – Blog Layouts for Elementor plugin <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-82769MEDIUMCross-site scripting vulnerability exists in Contec RP-WAH-SR Series. If this vulnerability is exploited, an arbitrary script may be executeEPSS 0.2%CVE-2026-118783MEDIUMAll-in-One Video Gallery < 5.0.0 - Contributor+ Stored XSS via Shortcode AttributeEPSS 0.2%CVE-2026-92590MEDIUMCraft CMS 5.7.0 before 5.10.13 Stored XSS via Generated FieldsEPSS 0.2%CVE-2025-31029HIGHWordPress replyMail plugin <= 1.2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-48530MEDIUMGFI Archiver < 15.14 Stored XSS via CategorizationPolicyWizard.aspxEPSS 0.2%CVE-2025-11873MEDIUMWP BBCode <= 1.8.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-116535MEDIUMSEOPress <= 10.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'display_name' Profile Field via %%archive_title%% Template TagEPSS 0.2%CVE-2026-51153MEDIUMStored Cross-Site Scripting (XSS) in TaskRunHandler.post() in web/handlers/task.py in QD 20220208 through 20250803. When a task is run via /EPSS 0.2%CVE-2026-8866MEDIUMjQuery googleslides <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-58671HIGHWordPress Auction Feed plugin <= 1.1.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-54670HIGHWordPress oik Plugin <= 4.15.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-53585HIGHWordPress WeMusic theme <= 1.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-90884MEDIUMWP Recipe Maker <= 10.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'notes' Parameter via REST Preview EndpointEPSS 0.2%CVE-2026-8887MEDIUMListen Shortcode <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-14466MEDIUMPossible XSS in the SNS web administration panelEPSS 0.2%CVE-2025-11863MEDIUMMy Geo Posts Free <= 1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-49411HIGHWordPress iFrame Block plugin <= 0.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%