Weaknesses of type CWE-79

30,585 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-8871MEDIUMFormidable Kinetic <= 1.1.01 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-8846MEDIUMTuxquote <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-102384MEDIUMWordPress Supreme Modules Lite plugin <= 2.5.63 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25353HIGHWordPress Nooni theme < 1.5.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-104477MEDIUMShowdown through 2.1.0 XSS via unescaped quote in href and src attributesEPSS 0.2%CVE-2026-93293MEDIUMPassword Protected <= 2.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Freemius purchase_completed HandlerEPSS 0.2%CVE-2026-25354HIGHWordPress Reebox theme < 1.4.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24980HIGHWordPress Visionary Core plugin <= 1.4.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-8894MEDIUMiWR Tooltip <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-8698MEDIUMCryptocurrency Prijsvergelijking Widget <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width' Shortcode AttributeEPSS 0.2%CVE-2026-25461HIGHWordPress Listeo Core plugin <= 2.0.21 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2021-47982MEDIUMWordPress Plugin WP-Paginate 2.1.3 Stored XSS via presetEPSS 0.2%CVE-2026-8875MEDIUMEasy Prism Syntax Highlighter <= 1.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-46360MEDIUMphpMyFAQ - Stored XSS via Entity Decoding Depth Limit Bypass in SVG SanitizerEPSS 0.2%CVE-2026-25306HIGHWordPress XStore Core plugin <= 5.6.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-8837MEDIUMWP Iframe Geo Style for Amazon affiliates <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'adid' Shortcode AttributeEPSS 0.2%CVE-2026-8701MEDIUMGNTT Post Title Ticker <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2022-50946MEDIUMWordPress Plugin Netroics Blog Posts Grid 1.0 Stored XSSEPSS 0.2%CVE-2026-8040MEDIUMfaq shortocde <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'color' Shortcode AttributeEPSS 0.2%CVE-2026-25557MEDIUMEvoluted PHP Directory Listing Script 4.0.5 Reflected XSS via dir parameterEPSS 0.2%