Weaknesses of type CWE-79

30,522 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-58227MEDIUMWordPress Podlove Subscribe button Plugin <= 1.3.11 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2018-25384MEDIUMWikidforum 2.20 Cross-Site Scripting via reply_text ParameterEPSS 0.2%CVE-2025-57988MEDIUMWordPress Uncanny Toolkit for LearnDash Plugin <= 3.7.0.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2023-43039MEDIUMIBM OpenPages with Watson cross-site scriptingEPSS 0.2%CVE-2025-58992MEDIUMWordPress Product Catalog Simple Plugin <= 1.8.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58230MEDIUMWordPress ZoloBlocks plugin <= 2.3.12 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-25044MEDIUMIBM Planning Analytics Local cross-site scriptingEPSS 0.2%CVE-2026-107799MEDIUMJivejdon through 5.0 Stored XSS via messageListBody.jsp Forum Message RenderingEPSS 0.2%CVE-2025-58030MEDIUMWordPress Page-list Plugin <= 5.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58264MEDIUMWordPress JupiterX Core Plugin <= 4.11.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-111284MEDIUMAureus ERP through 1.6.0 Stored XSS via Time Off Holiday Action ModalEPSS 0.2%CVE-2025-31452MEDIUMWordPress WP Ultimate Search plugin <= 2.0.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2018-25331MEDIUMZenar Content Management System Cross-Site Scripting via ajax.phpEPSS 0.2%CVE-2025-40734MEDIUMReflected Cross-Site Scripting (XSS) vulnerability in Daily Expense ManagerEPSS 0.2%CVE-2025-43757MEDIUMA reflected cross-site scripting (XSS) vulnerability in the Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q2.0 through 2025.QEPSS 0.2%CVE-2025-9638MEDIUMi-Educar 2.10.0 - Stored Cross-Site Scripting (XSS) in admin panelEPSS 0.2%CVE-2025-58648MEDIUMWordPress Simple JWT Login plugin <= 3.6.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-58689MEDIUMWordPress Tapfiliate Plugin <= 3.2.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58228MEDIUMWordPress Quick View for WooCommerce Plugin <= 2.2.16 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-40733MEDIUMReflected Cross-Site Scripting (XSS) vulnerability in Daily Expense ManagerEPSS 0.2%