Weaknesses of type CWE-79

30,599 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-100691MEDIUMHugo before 0.166.0 Stored XSS via lineAnchors code block optionEPSS 0.2%CVE-2026-102636HIGHDesign Name Stored Cross-Site Scripting (XSS) in Autodesk Fusion DesktopEPSS 0.2%CVE-2026-11186MEDIUMInappropriate implementation in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UEPSS 0.2%CVE-2022-50970MEDIUMWordPress Plugin AAWP 3.16 Reflected XSS via tab ParameterEPSS 0.2%CVE-2026-61456MEDIUMGrav before 1.0.3 Stored XSS via SVG Upload APIEPSS 0.2%CVE-2026-54326LOWPi: Potential XSS in HTML session exports via Markdown URL sanitization bypassEPSS 0.2%CVE-2026-102637HIGHFusion Protocol URL Reflected Cross-Site Scripting (XSS) in Autodesk Fusion DesktopEPSS 0.2%CVE-2026-33061MEDIUMJexactyl has Stored DOM Cross-Site Scripting (XSS) via unescaped JSON in Blade templateEPSS 0.2%CVE-2026-48543MEDIUMKrayin CRM 2.2.6 Stored Template Injection XSS via Web Form DescriptionEPSS 0.2%CVE-2026-4093MEDIUMStored XSS in Drupal 7 Term Reference Tree module (token display templates and term labels)EPSS 0.2%CVE-2026-48559MEDIUMLightweight Music Server 3.76.0 Stored XSS via Media File Metadata TagsEPSS 0.2%CVE-2026-118546MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-267EPSS 0.2%CVE-2026-35534HIGHChurchCRM has Stored XSS in PersonView.php via Facebook Field Attribute InjectionEPSS 0.2%CVE-2026-121447MEDIUMsvg-sanitizer before 1.1.0 XSS via animateTransform on SafariEPSS 0.2%CVE-2023-53737MEDIUMKentico Xperience <= 13.0.101 Localization Application Stored XSSEPSS 0.2%CVE-2026-118552MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-272EPSS 0.2%CVE-2026-118545MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-266EPSS 0.2%CVE-2026-125392MEDIUMWebmin through 2.670 Stored XSS via BIND8 edit_recs.cgi ALL ViewEPSS 0.2%CVE-2026-55746HIGHCotonti stored XSS via PFS folder titleEPSS 0.2%CVE-2026-41904HIGHFreeScout Stored XSS vulnerability in mailbox auto-reply: payload reaches every customer's email client (no CSP), bypassing strip_tags validator with mixed text+HTML contentEPSS 0.2%