Weaknesses of type CWE-79

30,527 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-3574MEDIUMExperto Dashboard for WooCommerce <= 1.0.4 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Navigation Font Size' SettingEPSS 0.2%CVE-2026-44667HIGHFaction: Stored XSS in Remediation Verification Attachment Filename Preview RenderingEPSS 0.2%CVE-2026-100522MEDIUMCotonti through 1.0.0 Reflected XSS via message.php lng parameterEPSS 0.2%CVE-2026-103481MEDIUMGwolle Guestbook <= 5.1.1 - Reflected Cross-Site Scripting via 'permalink' ParameterEPSS 0.2%CVE-2026-93880MEDIUMGreenshift <= 13.2.0 - Reflected Cross-Site Scripting via '{{GET:}}' Dynamic PlaceholderEPSS 0.2%CVE-2026-7464MEDIUMWP Google Maps Integration <= 1.2 - Reflected Cross-Site Scripting via 'page' ParameterEPSS 0.2%CVE-2026-4413MEDIUMIBM Concert Software Cross-Site ScriptingEPSS 0.2%CVE-2026-40137MEDIUMCross-Site Scripting (XSS) vulnerability in Business Server Pages Application (TAF_APPLAUNCHER)EPSS 0.2%CVE-2012-20005MEDIUMSocialFit WordPress Plugin 1.2.2 Reflected XSS via popup.php msg ParameterEPSS 0.2%CVE-2026-2266HIGHImproper neutralization of input vulnerability was identified in GitHub Enterprise Server that allowed cross-site scripting via task list content and enabled arbitrary HTML injectionEPSS 0.2%CVE-2021-47967MEDIUMPHP Timeclock 1.04 Multiple Cross-Site Scripting via ParametersEPSS 0.2%CVE-2026-27119MEDIUMSvelte affected by XSS in SSR `<option>` elementEPSS 0.2%CVE-2019-25737MEDIUMLive Chat Unlimited 2.8.3 Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-100179MEDIUMCalculated Fields Form <= 5.5.1.3 - Reflected DOM-Based Cross-Site Scripting via 'x' URL Parameter via setChoices()EPSS 0.2%CVE-2026-8707MEDIUMNS Product icon badge <= 1.2.4 - Reflected Cross-Site Scripting via PHP_SELFEPSS 0.2%CVE-2025-52774HIGHWordPress Infility Global plugin <= 2.15.06 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-4166MEDIUMWavlink WL-NU516U1 login.cgi sub_404F68 cross site scriptingEPSS 0.2%CVE-2026-109673HIGHFrappe ERPNext before 16.12.0 Stored XSS via Crafted Record NamesEPSS 0.2%CVE-2026-6704MEDIUMBlog Settings <= 1.0 - Reflected Cross-Site Scripting via 'page' ParameterEPSS 0.2%CVE-2026-2430MEDIUMAutoptimize <= 3.1.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Lazy-loaded Image AttributesEPSS 0.2%