Weaknesses of type CWE-79

30,522 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-9372MEDIUMUltimate Multi Design Video Carousel <= 1.4 - Authenticated (Editor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-13873MEDIUMThe feature to import a survey is prone to stored Cross-Site Script attacksEPSS 0.2%CVE-2025-68887HIGHWordPress WP-BusinessDirectory plugin <= 4.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-58648MEDIUMWordPress Simple JWT Login plugin <= 3.6.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-100720CRITICALFroxlor before 2.3.12 Stored XSS via SSL certificate issuerEPSS 0.2%CVE-2025-48322MEDIUMWordPress Statify Widget plugin <= 1.4.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-107799MEDIUMJivejdon through 5.0 Stored XSS via messageListBody.jsp Forum Message RenderingEPSS 0.2%CVE-2026-7016MEDIUMMaxSite CMS ushki Plugin cross site scriptingEPSS 0.2%CVE-2025-58684MEDIUMWordPress Logo Showcase plugin <= 4.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-48354MEDIUMWordPress Better Post & Filter Widgets for Elementor plugin <= 1.6.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-109983MEDIUMYMC Filter <= 3.12.19 - Authenticated (Author+) Stored DOM-Based Cross-Site Scripting via 'post_title' ParameterEPSS 0.2%CVE-2025-31452MEDIUMWordPress WP Ultimate Search plugin <= 2.0.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58651MEDIUMWordPress PlayerJS Plugin <= 2.24 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58257MEDIUMWordPress Verowa Connect plugin <= 3.2.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-103962MEDIUMUser Frontend <= 4.3.13 - Reflected Cross-Site Scripting via 'field_attr[required]' ParameterEPSS 0.2%CVE-2026-66010MEDIUMDOMPurify before 3.4.12 Hook Bypass via CUSTOM_ELEMENT_HANDLINGEPSS 0.2%CVE-2026-6711MEDIUMWebsite LLMs.txt <= 8.2.6 - Reflected Cross-Site ScriptingEPSS 0.2%CVE-2025-59552MEDIUMWordPress Save as PDF Plugin <= 4.5.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58017MEDIUMWordPress Ultimate Store Kit Elementor Addons plugin <= 2.8.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39336MEDIUMChurchCRM has Stored XSS from unescaped config values in HTML attributesEPSS 0.2%