Weaknesses of type CWE-79

30,537 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-5106MEDIUMcode-projects Exam Form Submission update_fst.php cross site scriptingEPSS 0.2%CVE-2026-54195HIGHWordPress JetFormBuilder plugin <= 3.6.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-36088MEDIUMIBM TS4500 cross-site scriptingEPSS 0.2%CVE-2025-70094MEDIUMA cross-site scripting (XSS) vulnerability in the Generate Item Barcode function of OpenSourcePOS v3.4.1 allows attackers to execute arbitraEPSS 0.2%CVE-2026-5325MEDIUMSourceCodester Simple Customer Relationship Management System Create Ticket create-ticket.php cross site scriptingEPSS 0.2%CVE-2026-1911MEDIUMTwitter Feeds <= 1.0.0 - Authenticated (Contributor+) Cross-Site Scripting via 'tweet_title' Shortcode AttributeEPSS 0.2%CVE-2025-53496MEDIUMStored XSS in MediaSearchEPSS 0.2%CVE-2026-1914MEDIUMFuseDesk <= 6.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'emailtext' Shortcode AttributeEPSS 0.2%CVE-2025-68166MEDIUMIn JetBrains TeamCity before 2025.11 a DOM-based XSS was possible on the OAuth connections tabEPSS 0.2%CVE-2025-6244MEDIUMEssential Addons for Elementor – Popular Elementor Templates and Widgets <= 6.1.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via `Calendar` And `Business Reviews` WidgetsEPSS 0.2%CVE-2026-8847MEDIUMDideo <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-27506MEDIUMSVXportal <= 2.5 Profile Update Stored XSSEPSS 0.2%CVE-2025-5537MEDIUMLightbox & Modal Popup WordPress Plugin – FooBox <= 2.7.34 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-5570MEDIUMAI Engine <= 2.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via `mwai_chatbot` Shortcode `id` ParameterEPSS 0.2%CVE-2026-120552MEDIUMSEO Engine <= 0.9.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Entity-Encoded Post Title via Strip-then-Decode in build_title()EPSS 0.2%CVE-2026-54191HIGHWordPress Pods plugin <= 3.3.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-53479MEDIUMCheckUser: Reflected Cross-Site Scripting (XSS) in Special:CheckUser via unsanitized internationalized messageEPSS 0.2%CVE-2026-0609MEDIUMLogo Slider <= 4.9.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'logo-slider' ShortcodeEPSS 0.2%CVE-2025-53491MEDIUMXSS in FlaggedRevsEPSS 0.2%CVE-2026-4835MEDIUMcode-projects Accounting System Web Application add_costumer.php cross site scriptingEPSS 0.2%