Weaknesses of type CWE-79

30,536 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-33097MEDIUMIBM QRadar SIEM cross-site scriptingEPSS 0.2%CVE-2025-62907MEDIUMWordPress Custom Post Type Attachment plugin <= 3.4.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-112840MEDIUMWordPress SureCart plugin <= 4.9.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62923MEDIUMWordPress Marquee Addons for Elementor plugin <= 3.8.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-107867HIGHWordPress JetProductTables plugin <= 1.2.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62030MEDIUMWordPress tagDiv Composer plugin <= 5.4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62963MEDIUMWordPress Estatik plugin <= 4.3.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-8844MEDIUMResponsive Check <= 0.0.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-4345HIGHStored Cross-Site Scripting (XSS) Vulnerability in Design NameEPSS 0.2%CVE-2025-62941MEDIUMWordPress Events Maker by dFactory plugin <= 1.6.14 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-114185MEDIUMWordPress AnyWhere Elementor plugin <= 1.3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-119500MEDIUMWordPress Flash & HTML5 Video plugin <= 2.14.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62943MEDIUMWordPress Next Page, Not Next Post plugin <= 0.3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62911MEDIUMWordPress Rock Convert plugin <= 3.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-53354MEDIUMNiceGUI is vulnerable to Reflected XSS attackEPSS 0.2%CVE-2025-67544MEDIUMWordPress Shopkeeper Extender plugin < 7.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-116857MEDIUMWordPress JetSmartFilters plugin <= 3.8.6.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-23976MEDIUMWordPress Modula Image Gallery plugin <= 2.13.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-4344HIGHStored Cross-Site Scripting (XSS) Vulnerability in Assembly Component NameEPSS 0.2%CVE-2023-54408MEDIUMFrappe before 14.31.0 HTML Injection via Weak EscapingEPSS 0.2%