Weaknesses of type CWE-79

30,585 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-100904MEDIUMamirsanni mini-inventory-and-sales-management-system Items Management Items.php cross site scriptingEPSS 0.2%CVE-2026-32359MEDIUMWordPress Icon List Block plugin <= 1.2.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-96810MEDIUMhuanzi-qch base-admin Add User CommonController.java save cross site scriptingEPSS 0.2%CVE-2026-101141MEDIUMEleveo Call Recording Software Play Audio audio.jsp cross site scriptingEPSS 0.2%CVE-2026-124498MEDIUMConvene Azeus Convene Board Management Portal dummy_launcher.jsp cross site scriptingEPSS 0.2%CVE-2025-69011MEDIUMWordPress Cool Tag Cloud plugin <= 2.29 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32352MEDIUMWordPress Elementor Website Builder plugin <= 3.35.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-108898MEDIUMNetis WF2409E Wireless Settings cross site scriptingEPSS 0.2%CVE-2026-27354MEDIUMWordPress WooCommerce Coming Soon Product with Countdown plugin <= 5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25451MEDIUMWordPress Bold Page Builder plugin <= 5.6.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-43876MEDIUMWWBN AVideo: HTML Injection in notifySubscribers.json.php Enables Platform-Branded Phishing Emails to Channel SubscribersEPSS 0.2%CVE-2025-59715MEDIUMSMSEagle before 6.11 allows reflected XSS via a username or contact phone number.EPSS 0.2%CVE-2026-97868MEDIUMsheshbabu zen Note Editor NotesEditor.jsx dangerouslySetInnerHTML cross site scriptingEPSS 0.2%CVE-2025-23081MEDIUMVarious security vulnerabilities in Extension:DataTransferEPSS 0.2%CVE-2025-55996MEDIUMViber Desktop 25.6.0 is vulnerable to HTML Injection via the text parameter of the message compose/forward interfaceEPSS 0.2%CVE-2026-102264MEDIUMmwasikz robo-cafe-rms Edit Profile Feature update-account.php cross site scriptingEPSS 0.2%CVE-2026-32431MEDIUMWordPress Astra Bulk Edit plugin <= 1.2.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-6216MEDIUMDbGate SVG Icon String FontIcon.svelte cross site scriptingEPSS 0.2%CVE-2026-20085MEDIUMCisco Integrated Management Controller Cross-Site Scripting VulnerabilityEPSS 0.2%CVE-2026-124552MEDIUMWebmin through 2.670 Stored XSS via Shorewall and Shorewall6 list.cgiEPSS 0.2%