Weaknesses of type CWE-79

30,495 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-3034MEDIUMOoohBoi Steroids for Elementor <= 2.1.24 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple URL ControlsEPSS 0.2%CVE-2025-15000MEDIUMPage Keys <= 1.3.3 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'page_key' ParameterEPSS 0.2%CVE-2026-62138MEDIUMWordPress Visual Composer Website Builder plugin <= 45.16.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-48919MEDIUMSimple Klaro - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-073EPSS 0.2%CVE-2026-81281MEDIUMWordPress Graphene theme <= 2.9.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-94500MEDIUMWordPress ElementsKit Elementor addons Lite plugin <= 4.0.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-42447LOWjadx: HTML Injection in Summary panelEPSS 0.2%CVE-2026-66591MEDIUMWordPress Media LIbrary Assistant plugin <= 3.39 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57354MEDIUMWordPress JetReviews plugin <= 3.0.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-73359MEDIUMWordPress WP Cookie Notice for GDPR, CCPA & ePrivacy Consent plugin <= 4.3.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57342MEDIUMWordPress ShortPixel Adaptive Images plugin <= 3.11.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66636MEDIUMWordPress Wise Chat plugin <= 3.4.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-14557MEDIUMXSS in Drupal 7 Facebook Pixel ModuleEPSS 0.2%CVE-2026-0588MEDIUMXinhu Rainrock RockOA API rockfun.php cross site scriptingEPSS 0.2%CVE-2024-38739MEDIUMWordPress OnePress theme <= 2.3.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57431MEDIUMWordPress Featured Image plugin <= 2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-65527MEDIUMWordPress LIQUID SPEECH BALLOON plugin <= 1.2.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-62110MEDIUMWordPress Bold Page Builder plugin <= 5.9.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-62111MEDIUMWordPress Simple Payment plugin <= 2.5.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-52779HIGHWordPress Dot html,php,xml etc pages plugin <= 1.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%