Weaknesses of type CWE-79

30,469 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-34098MEDIUMGuardian Language-System XSS via id Parameter in media.phpEPSS 0.2%CVE-2025-26539MEDIUMWordPress Embed Google Map plugin <= 3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-71165MEDIUMTypesetter CMS Reflected XSS via Status.phpEPSS 0.2%CVE-2026-59672MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2026-7176MEDIUMMultiple vulnerabilities in Entradium by CrocanticketsEPSS 0.2%CVE-2025-5533MEDIUMKnowledge Base <= 2.3.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-71164MEDIUMTypesetter CMS Reflected XSS via Editing.phpEPSS 0.2%CVE-2025-26769MEDIUMWordPress Vertex Addons for Elementor plugin <= 1.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-34495MEDIUMFMS Employee vulnerable to XSSEPSS 0.2%CVE-2026-7175MEDIUMMultiple vulnerabilities in Entradium by CrocanticketsEPSS 0.2%CVE-2024-51506MEDIUMTiki through 27.0 allows users who have certain permissions to insert a "Create a Wiki Pages" stored XSS payload in the description.EPSS 0.2%CVE-2025-26770MEDIUMWordPress Waymark plugin <= 1.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-12520MEDIUMWP Airbnb Review Slider <= 4.2 - Authenticated (Admin+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-71166MEDIUMTypesetter CMS Reflected XSS via Move Message HandlingEPSS 0.2%CVE-2026-59662MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2025-63533HIGHA cross-site scripting (XSS) vulnerability exists in the Blood Bank Management System 1.0 within the updateprofile.php and rprofile.php compEPSS 0.2%CVE-2025-26567MEDIUMWordPress Font Awesome WP plugin <= 1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-5536MEDIUMFreemind Viewer <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13071MEDIUMXSS in Akinsoft's e-MutabakatEPSS 0.2%CVE-2026-1049MEDIUMLigeroSmart index.pl cross site scriptingEPSS 0.2%