Weaknesses of type CWE-79

30,593 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-64291MEDIUMWordPress Premmerce User Roles plugin <= 1.0.13 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-17025MEDIUMGraphene <= 2.9.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Profile FieldsEPSS 0.2%CVE-2026-25900MEDIUMJoomla! Core - [20260501] - XSS in feed modulesEPSS 0.2%CVE-2026-27054HIGHWordPress Penci Soledad Data Migrator plugin <= 1.3.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-31994MEDIUMHCL Unica Campaign is vulnerable to Reflected Cross-Site Scripting (XSS)EPSS 0.2%CVE-2025-60184MEDIUMWordPress SEO Search Permalink Plugin <= 1.0.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-33083MEDIUMIBM Concert Software cross-site scriptingEPSS 0.2%CVE-2025-58884MEDIUMWordPress vipdrv Plugin <= 1.0.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-60185MEDIUMWordPress kontur Admin Style Plugin <= 1.0.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-8197HIGHConcrete CMS 9.5.0 and below is vulnerable to Stored XSS via OAuth integration nameEPSS 0.2%CVE-2025-60186MEDIUMWordPress Google+ Comments Plugin <= 1.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-59115MEDIUMStored XSS in Windu CMSEPSS 0.2%CVE-2025-58883MEDIUMWordPress Search Cloud One Plugin <= 2.2.5 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-48102MEDIUMWordPress GoUrl Bitcoin Payment Gateway & Paid Downloads & Membership plugin <= 1.6.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-36352MEDIUMIBM License Metric Tool cross-site scriptingEPSS 0.2%CVE-2026-27087HIGHWordPress Wolverine Framework plugin <= 1.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-36042MEDIUMIBM QRadar SIEM cross-site scriptingEPSS 0.2%CVE-2025-1826MEDIUMIBM Jazz Foundation cross-site scriptingEPSS 0.2%CVE-2026-22523HIGHWordPress Ultra WordPress Admin plugin <= 11.7 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25383HIGHWordPress KiviCare plugin <= 3.6.16 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%