Weaknesses of type CWE-79

30,595 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-114707MEDIUMWordPress JetElements For Elementor plugin <= 2.9.2.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-12635MEDIUMIBM WebSphere Application Server and WebSphere Application Server Liberty Cross-Site ScriptingEPSS 0.2%CVE-2025-66522MEDIUMFoxit pdfonline.foxit.com Stored Cross-Site Scripting in Digital IDs Common Name FieldEPSS 0.2%CVE-2026-89145LOWFlextype CMS 0.9.9 through 1.0.0-alpha.3 Stored XSS via Plugin DirectoryEPSS 0.2%CVE-2026-116823MEDIUMYesWiki before 4.7.0 Reflected XSS via BazarField $_REQUEST FallbackEPSS 0.2%CVE-2026-100881LOWzhistaredu StarTraining application.yml cross site scriptingEPSS 0.2%CVE-2026-116824MEDIUMYesWiki before 4.7.0 Stored XSS via Referer Header in referrers_sites HandlerEPSS 0.2%CVE-2025-65341MEDIUMEcommerce Fruits Bazar 1.0 is vulnerable to Cross Site Scripting (XSS) in admin/edit_product.php.EPSS 0.2%CVE-2026-39683MEDIUMWordPress Garden Gnome Package plugin <= 2.4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-66519MEDIUMFoxit pdfonline.foxit.com Stored Cross-Site Scripting in Layer Import FunctionalityEPSS 0.2%CVE-2026-1780MEDIUM[CR]Paid Link Manager <= 0.5 - Reflected Cross-Site ScriptingEPSS 0.2%CVE-2026-122234LOWjsondiffpatch before 0.7.7 XSS via Array-Move Destination in HTML FormattersEPSS 0.2%CVE-2025-66520MEDIUMFoxit pdfonline.foxit.com Stored Cross-Site Scripting in Portfolio SVG HandlingEPSS 0.2%CVE-2025-66502MEDIUMFoxit pdfonline.foxit.com Stored Cross-Site Scripting in Page Templates FeatureEPSS 0.2%CVE-2025-65342MEDIUMcode-projects Blood System 1.0 is vulnerable to Cross Site Scripting (XSS) in /don.php via the city field.EPSS 0.2%CVE-2025-23554HIGHWordPress Off Page SEO plugin <= 3.0.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-66118HIGHWordPress Sprout Clients plugin <= 3.2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-49355MEDIUMWordPress Accessibility Press plugin <= 1.0.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-6324HIGHWordPress Easy Invoice plugin <= 2.0.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-41057MEDIUMStored Cross-Site Scripting vulnerability in appRain CMFEPSS 0.2%