Weaknesses of type CWE-79

30,596 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-94632HIGHWordPress BlockStrap Page Builder - Bootstrap Blocks plugin <= 0.1.58 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-38432MEDIUMERPNext v15.103.1 and before is vulnerable to Cross Site Scripting (XSS) in the Email Template engine. An attacker with permission to createEPSS 0.2%CVE-2026-115277MEDIUMWP User Frontend < 4.3.14 - Reflected XSS via 'field_attr' ParameterEPSS 0.2%CVE-2026-62095HIGHWordPress Biolife theme <= 3.2.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-42632HIGHWordPress Qode Real Estate plugin <= 1.1.7.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24476MEDIUMShaarli vulnerable to stored XSS via Suggested TagsEPSS 0.2%CVE-2026-1769MEDIUMStored XSS on Xerox CentreWare Web 7.0.6EPSS 0.2%CVE-2026-62037HIGHWordPress Document Embedder plugin <= 2.4.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-97065HIGHWordPress Happyforms plugin <= 1.26.15 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-94661HIGHWordPress JetBlog plugin <= 2.4.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-116891MEDIUMSemanticMediaWiki 4.2.0 before 7.2.1 Reflected XSS via Special:FacetedSearch cstateEPSS 0.2%CVE-2026-62080MEDIUMWordPress Happy Addons for Elementor plugin <= 3.23.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-96829MEDIUMWordPress The Plus Addons for Elementor Page Builder Lite plugin <= 6.5.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-57887MEDIUMWordPress Jobmonster Theme <= 4.8.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-59585MEDIUMWordPress Penci Recipe Plugin <= 4.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-97067MEDIUMWordPress EWWW Image Optimizer plugin <= 8.7.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-41104MEDIUMMultiple vulnerabilities in Fairsketch's RISE CRM FrameworkEPSS 0.2%CVE-2025-59589MEDIUMWordPress Soledad Theme <= 8.6.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-62079MEDIUMWordPress Qi Addons For Elementor plugin <= 1.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-42150MEDIUMwlc: print_html outputs API data without HTML escaping, enabling stored XSSEPSS 0.2%