Weaknesses of type CWE-79

30,494 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-13700MEDIUMEmbed Swagger UI <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-18957MEDIUMStored XSS in Menulux Software's Menulux PortalEPSS 0.2%CVE-2026-40464MEDIUMA Stored Cross-Site Scripting (XSS) Vulnerability in Nokia NSPEPSS 0.2%CVE-2026-15249MEDIUMPatterns Kit <= 1.0.3 - Contributor+ Stored XSS via YouTube Popup LinkEPSS 0.2%CVE-2026-72559MEDIUMDaniel Brendel HortusFox - Cross-Site ScriptingEPSS 0.2%CVE-2026-19217MEDIUMRoyal Elementor Addons < 1.7.1065 - Contributor+ Stored XSS via Icon Box WidgetEPSS 0.2%CVE-2024-13670MEDIUMMusic Sheet Viewer <= 4.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-8315MEDIUMStored XSS in Webbeyaz's Mediküm WebEPSS 0.2%CVE-2026-1029MEDIUMMultiple vulnerabilities affect IBM License Key Server Administration and Reporting Tool and IBM LKS Administration AgentEPSS 0.2%CVE-2026-55805MEDIUMDrupal core - Moderately critical - Cross-site scripting - SA-CORE-2026-012EPSS 0.2%CVE-2024-45094MEDIUMIBM DS8900F and DS8A00 Hardware Management Console (HMC) cross-site scriptingEPSS 0.2%CVE-2026-15245MEDIUMBNE Testimonials < 2.0.8.2 - Contributor+ Stored XSS via Slider ShortcodeEPSS 0.2%CVE-2026-15386MEDIUMMeow Gallery < 5.5.2 - Author+ Stored XSS via Attachment Alt-TextEPSS 0.2%CVE-2026-12682MEDIUMStored XSS in Ankaref's LIBRID/LIBREFEPSS 0.2%CVE-2026-8309MEDIUMReflected XSS in Armiya Technologies' Access Control SystemEPSS 0.2%CVE-2026-14230MEDIUMECS < 4.3.8 - Contributor+ Stored XSS via Dynamic Repeater BindingsEPSS 0.2%CVE-2026-34396MEDIUMAVideo: Stored XSS via Unescaped Plugin Configuration Values in Admin PanelEPSS 0.2%CVE-2025-69003HIGHWordPress KenthaRadio theme <= 2.2.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-13400MEDIUMKona Gallery Block <= 1.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-44581MEDIUMNext.js: Cross-site scripting in App Router applications using CSP noncesEPSS 0.2%