Weaknesses of type CWE-79

30,599 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-35057MEDIUMXenForo Stored Cross-Site Scripting via Structured Text MentionsEPSS 0.2%CVE-2023-49186HIGHWordPress Machic Core plugin <= 1.2.6 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2019-25739MEDIUMGigToDo Freelance Marketplace Script 1.3 Persistent XSSEPSS 0.2%CVE-2025-62745MEDIUMWordPress Team Showcase plugin <= 1.22.28 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-29100HIGHSuiteCRM has Reflected HTML Injection in Login Page via default_user_name ParameterEPSS 0.2%CVE-2026-111713MEDIUMtarteaucitron.js before 1.37.0 XSS via getElemAttr Attribute Validation MismatchEPSS 0.2%CVE-2026-116212MEDIUMWebasyst Framework through 4.4.0 Stored XSS via Photos Album URLEPSS 0.2%CVE-2019-25743MEDIUMWordPress Soliloquy Lite 2.5.6 Persistent Cross-Site ScriptingEPSS 0.2%CVE-2019-25742MEDIUMWordPress Theme Zoner Real Estate 4.1.1 Persistent XSSEPSS 0.2%CVE-2025-62760MEDIUMWordPress BuddyPress Activity Shortcode plugin <= 1.1.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2019-25744MEDIUMWordPress Popup Builder 3.49 Persistent Cross-Site ScriptingEPSS 0.2%CVE-2026-109392MEDIUMPimcore through 2026.3.1 Stored XSS via ExternalImage Field Version PreviewEPSS 0.2%CVE-2026-27427MEDIUMWordPress Geo Mashup plugin <= 1.13.18 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-113429MEDIUMGitea stored XSS through legacy Actions artifact Content-EncodingEPSS 0.2%CVE-2024-31946MEDIUMAn issue was discovered in Stormshield Network Security (SNS) 3.7.0 through 3.7.41, 3.10.0 through 3.11.29, 4.0 through 4.3.24, and 4.4.0 thEPSS 0.2%CVE-2026-116408MEDIUMWordPress Gallery PhotoBlocks plugin <= 1.3.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-28357MEDIUMNocoDB: Stored Cross-Site Scripting via Formula CellEPSS 0.2%CVE-2026-120838MEDIUMWordPress All-in-One Video Gallery plugin <= 5.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39737MEDIUMWordPress JetElements For Elementor plugin <= 2.9.2.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-115953MEDIUMWordPress Geo Mashup plugin <= 1.13.22 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%