Weaknesses of type CWE-79

30,536 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-97643MEDIUMGiveWP <= 4.17.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via givewp_campaign_grid Shortcode AttributesEPSS 0.2%CVE-2026-49368HIGHIn JetBrains YouTrack before 2026.1.13162 stored XSS in project notification templates was possibleEPSS 0.2%CVE-2025-40895LOWHTML injection in Sensor Map in CMC before 25.6.0EPSS 0.2%CVE-2025-5275MEDIUMCharitable <= 1.8.6.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via Plugin's Privacy SettingsEPSS 0.2%CVE-2026-7281MEDIUMSourceCodester Pharmacy Sales and Inventory System index.php supplier cross site scriptingEPSS 0.2%CVE-2024-52900MEDIUMIBM Cognos Analytics cross-site scriptingEPSS 0.2%CVE-2026-23616MEDIUMGFI MailEssentials AI < 22.4 Anti-Spam Anti-Spoofing Description Stored XSSEPSS 0.2%CVE-2026-6651MEDIUMerponline.xyz ERP Online Inventory Edit Item cross site scriptingEPSS 0.2%CVE-2026-108366MEDIUMeasy.jobs <= 2.8.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon' Block AttributeEPSS 0.2%CVE-2026-6622MEDIUMBichitroGan ISP Billing Software Customer edit cross site scriptingEPSS 0.2%CVE-2026-23609MEDIUMGFI MailEssentials AI < 22.4 General Settings Perimeter SMTP Servers Description Stored XSSEPSS 0.2%CVE-2026-116546MEDIUMWP Job Portal <= 2.7.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'degreetitle' ParameterEPSS 0.2%CVE-2025-66258HIGHStored Cross-Site Scripting via XML InjectionEPSS 0.2%CVE-2026-22804HIGHTermix has a Stored XSS in File Manager leading to Local File Inclusion (LFI) in Electron and Session Hijacking in BrowserEPSS 0.2%CVE-2025-9859MEDIUMFintelligence Calculator <= 1.0.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-10112MEDIUMsambitraj STUDENT-MANAGEMENT-SYSTEM Dashboard cross site scriptingEPSS 0.2%CVE-2026-23605MEDIUMGFI MailEssentials AI < 22.4 Attachment Filtering Rule Stored XSSEPSS 0.2%CVE-2026-23612MEDIUMGFI MailEssentials AI < 22.4 Anti-Spam IP DNS Blocklist Domain Stored XSSEPSS 0.2%CVE-2026-6624MEDIUMBichitroGan ISP Billing Software Pool List add cross site scriptingEPSS 0.2%CVE-2026-118164MEDIUMIf-So Dynamic Content <= 1.10.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'repeater' ParameterEPSS 0.2%