Weaknesses of type CWE-79

30,495 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-22818MEDIUMWordPress S3Player plugin <= 4.2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-38317MEDIUMIBM Aspera Shares Cross-Site ScriptingEPSS 0.2%CVE-2025-22819MEDIUMWordPress Qr Code and Barcode Scanner Reader plugin <= 1.0.0 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-60163MEDIUMWordPress bbp topic count plugin <= 3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22327MEDIUMWordPress EO4WP plugin <= 1.0.8.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22661MEDIUMWordPress Online Payments plugin <= 3.20.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-96594MEDIUMGitea repository media API stored XSSEPSS 0.2%CVE-2025-23997MEDIUMWordPress Tamara Checkout plugin < 1.9.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-13962MEDIUMDivelogs Widget <= 1.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-22808MEDIUMWordPress Surbma | Premium WP plugin <= 9.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-13887MEDIUMAI BotKit <= 1.1.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-48263MEDIUMWordPress MultiVendorX plugin <= 4.2.22 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-62857LOWQuMagieEPSS 0.2%CVE-2025-22822MEDIUMWordPress wp custom countdown Plugin <= 2.8 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22812MEDIUMWordPress News Ticker Widget for Elementor plugin <= 1.3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-14555MEDIUMCountdown Timer - Widget Countdown <= 2.7.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-49928MEDIUMWordPress JetWooBuilder plugin <= 2.1.20 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62239MEDIUMCross-site scripting (XSS) vulnerability in workflow process builder in Liferay Portal 7.4.3.21 through 7.4.3.111, and Liferay DXP 2023.Q4.0EPSS 0.2%CVE-2024-49793MEDIUMIBM ApplinX Cross-Site ScriptingEPSS 0.2%CVE-2025-11876MEDIUMMailgun Subscriptions <= 1.3.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%