Weaknesses of type CWE-79

30,469 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-59661MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2023-54361MEDIUMJoomla iProperty Real Estate 4.1.1 Reflected XSS via filter_keywordEPSS 0.2%CVE-2025-26574MEDIUMWordPress Google Drive WP Media plugin <= 2.4.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-59660MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2026-59659MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2026-104250MEDIUMunstructured: Stored XSS via unescaped HTML generationEPSS 0.2%CVE-2026-6378MEDIUMMaxi Blocks <= 2.1.9 - Authenticated (Author+) Stored Cross-Site Scripting via Style Card REST APIEPSS 0.2%CVE-2026-8599MEDIUMMailerPress <= 2.0.4 - Authenticated (Author+) Stored Cross-Site Scripting via Campaign HTML Content FieldEPSS 0.2%CVE-2024-42200MEDIUMHCL BigFix Web Reports is potentially susceptible to a Stored Cross-Site Scripting (XSS) attackEPSS 0.2%CVE-2025-2799MEDIUMWP Event Manager <= 3.1.49 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-61645NONECodexTablePager has i18n XSSEPSS 0.2%CVE-2025-26538MEDIUMWordPress Prezi Embedder plugin <= 2.1 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-59673MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2025-26558MEDIUMWordPress Aparat Responsive plugin <= 1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-54856MEDIUMMovable Type contains a stored cross-site scripting vulnerability in Edit ContentData page. If crafted input is stored by an attacker with "EPSS 0.2%CVE-2025-27016MEDIUMWordPress Drivr Lite – Google Drive Plugin plugin <= 1.0.1 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-26754MEDIUMWordPress Timeline Block plugin <= 1.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-26761MEDIUMWordPress Easy Elementor Addons plugin <= 2.1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-20296MEDIUMCisco UCS Manager Software Stored Software Stored Cross-Site Scripting VulnerabilityEPSS 0.2%CVE-2026-59665MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%