Weaknesses of type CWE-79

30,495 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-22826MEDIUMWordPress Sell Digital Downloads plugin <= 2.2.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-13963MEDIUMFX Currency Converter <= 0.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-44587MEDIUMCarrierWave has a denylisted_content_type bypass via Unescaped Regex MetacharactersEPSS 0.2%CVE-2026-39416HIGHStored XSS in modal item preview for long item content in AIL FrameworkEPSS 0.2%CVE-2026-93896MEDIUMWPFront Notification Bar <= 3.5.1 - Reflected Cross-Site Scripting via REQUEST_URIEPSS 0.2%CVE-2022-50681MEDIUMKentico Xperience <= 13.0.88 Rich Text Editor Reflected XSSEPSS 0.2%CVE-2025-49929MEDIUMWordPress Ultimate Blocks plugin <= 3.3.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-28776MEDIUMIBM Cognos Controller cross-site scriptingEPSS 0.2%CVE-2025-14030MEDIUMAI Feeds <= 1.0.22 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'aife_post_meta' ShortcodeEPSS 0.2%CVE-2026-111903MEDIUMphpMyFAQ 4.2.0-alpha before 4.2.0-beta Stored XSS via SVG DTD Entity BypassEPSS 0.2%CVE-2024-52365MEDIUMIBM Cloud Pak for Business Automation cross-site scriptingEPSS 0.2%CVE-2025-22584MEDIUMWordPress Timeline Pro plugin <= 1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-2955MEDIUMAI Chatbot & Workflow Automation by AIWU <= 1.4.14 - Unauthenticated Stored Cross-Site Scripting via 'X-Forwarded-For' HeaderEPSS 0.2%CVE-2025-57913MEDIUMWordPress Behance Portfolio Manager plugin <= 1.7.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32121HIGHOpenEMR: Stored DOM XSS via `.html()` in Portal Signer ModalEPSS 0.2%CVE-2025-43834MEDIUMWordPress cookieBAR plugin <= 1.7.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22809MEDIUMWordPress PDF Catalog Woocommerce plugin <= 2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-33136CRITICALWeGIA has Reflected Cross-Site Scripting (XSS) in `listar_memorandos_ativos.php` via `sccd` parameterEPSS 0.2%CVE-2025-49934MEDIUMWordPress JetBlocks For Elementor plugin <= 1.3.18 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22362MEDIUMWordPress WPAchievements Free Plugin <= 1.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%