Weaknesses of type CWE-79

30,525 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-51457MEDIUMIBM Robotic Process Automation for Cloud Pak cross-site scriptingEPSS 0.2%CVE-2026-25073MEDIUMXikeStor SKS8310-8X Stored XSS via System NameEPSS 0.2%CVE-2026-65898MEDIUMDOMPurify before 3.4.11 Permanent Attribute Allowlist Pollution via setConfigEPSS 0.2%CVE-2025-46543MEDIUMWordPress Enhanced Paypal Shortcodes plugin <= 0.5a - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-48221MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via ics205a.php frm_add_str ParameterEPSS 0.2%CVE-2025-40989MEDIUMStored XSS in Creativeitem Ekushey CRMEPSS 0.2%CVE-2025-13936MEDIUMWatchGuard Firebox Stored Cross-Site-Scripting (XSS) Vulnerability in Tigerpaw Technology Integration ConfigurationEPSS 0.2%CVE-2026-108515MEDIUMDrupal core - Moderately critical - Cross-site scripting - SA-CORE-2026-015EPSS 0.2%CVE-2026-2483MEDIUMIBM InfoSphere Information Server Cross-Site ScriptingEPSS 0.2%CVE-2026-48839HIGHWordPress WP Statistics plugin <= 14.16.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-40696MEDIUMCross Site Scripting in PHPGurukul Online Fire Reporting SystemEPSS 0.2%CVE-2026-6486MEDIUMclassroombookings User Display Name layout.php read cross site scriptingEPSS 0.2%CVE-2025-49075MEDIUMWordPress Wishlist plugin <= 1.0.43 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-9994MEDIUMEssential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 6.1.12 - Authenticated(Contributor+) Stored Cross-Site Scripting via Pricing Table WidgetEPSS 0.2%CVE-2026-18320MEDIUMCVE-2026-18320EPSS 0.2%CVE-2025-43753LOWA reflected cross-site scripting (XSS) vulnerability in the Liferay Portal 7.4.3.32 through 7.4.3.132, and Liferay DXP 2025.Q1.0 through 202EPSS 0.2%CVE-2024-8054MEDIUMMM-Breaking News <= 0.7.9 - Stored XSS via CSRFEPSS 0.2%CVE-2025-40640MEDIUMStored Cross-Site Scripting (XSS) in Energy CRM by Status TrackerEPSS 0.2%CVE-2025-36592MEDIUMDell Secure Connect Gateway (SCG) Policy Manager, version(s) 5.20. 5.22, 5.24, 5.26, 5.28, contain(s) an Improper Neutralization of Input DuEPSS 0.2%CVE-2025-36153MEDIUMIBM Concert Cross-Site ScriptingEPSS 0.2%