Weaknesses of type CWE-79

30,525 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-18311MEDIUMCVE-2026-18311EPSS 0.2%CVE-2025-36239MEDIUMIBM Storage TS4500 Library cross-site scriptingEPSS 0.2%CVE-2025-0656MEDIUMIBM Concert Software cross-site scriptingEPSS 0.2%CVE-2026-57958MEDIUMMixpost 2.6.0 - Reflected XSS via OAuth Callback Error ParameterEPSS 0.2%CVE-2025-52335MEDIUMEyouCMS 1.7.3 is vulnerale to Cross Site Scripting (XSS) in index.php, which can be exploited to obtain sensitive information.EPSS 0.2%CVE-2025-5770MEDIUMReflected Cross-Site Scripting (XSS) in Authentication Endpoints of Multiple WSO2 ProductsEPSS 0.2%CVE-2025-6747MEDIUMAvada (Fusion) Builder <= 3.12.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2026-42554MEDIUMFiber: XSS in AutoFormat Content NegotiationEPSS 0.2%CVE-2026-87949LOWSAML SSO - Service Provider - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-147EPSS 0.2%CVE-2025-4588MEDIUM360 Photo Spheres <= 1.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-7653MEDIUMEPay.bg Payments <= 0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-48217MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via delete_module.php Multiple POST ParametersEPSS 0.2%CVE-2026-48219MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via ics202.php frm_add_str ParameterEPSS 0.2%CVE-2025-13937MEDIUMWatchGuard Firebox Stored Cross-Site-Scripting (XSS) Vulnerability in ConnectWise Technology Integration ConfigurationEPSS 0.2%CVE-2026-104465MEDIUMYesWiki before 4.6.7 Reflected XSS via field Parameter in mail HandlerEPSS 0.2%CVE-2026-24833HIGHDotNetNuke.Core Vulnerable to Stored XSS in Module DescriptionEPSS 0.2%CVE-2026-48222MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via ics213.php frm_add_str ParameterEPSS 0.2%CVE-2025-13939MEDIUMWatchGuard Firebox Stored Cross-Site-Scripting (XSS) Vulnerability in Gateway Wireless ControllerEPSS 0.2%CVE-2026-48225MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via landb.php _type ParameterEPSS 0.2%CVE-2025-48080MEDIUMWordPress Uncanny Toolkit for LearnDash plugin <= 3.7.0.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%