Weaknesses of type CWE-79

30,601 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-69268MEDIUMSpectrum reflected XSSEPSS 0.2%CVE-2026-48157MEDIUMSlim has Reflected XSS in the HtmlErrorRendererEPSS 0.2%CVE-2026-39517MEDIUMWordPress Blog Filter plugin <= 1.7.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25465MEDIUMWordPress CP Multi View Event Calendar plugin <= 1.4.36 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39646MEDIUMWordPress Leaflet Map plugin <= 3.4.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-33116MEDIUMIBM Watson Studio on Cloud Pak for Data cross-site scriptingEPSS 0.2%CVE-2026-39665MEDIUMWordPress SEO Friendly Images plugin <= 3.0.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-62293MEDIUMHAPI FHIR: Stored XSS in scan report via unescaped IG and profile titlesEPSS 0.2%CVE-2026-32521MEDIUMWordPress WP Custom Admin Interface plugin <= 7.42 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39482MEDIUMWordPress Post Expirator plugin <= 4.9.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-103305HIGHPrenotazioni <= 1.7.5 - Unauthenticated Stored XSS via Settings UpdateEPSS 0.2%CVE-2026-29598MEDIUMMultiple stored cross-site scripting (XSS) vulnerabilities in the submit_add_user.asp endpoint of DDSN Interactive Acora CMS v10.7.1 allow aEPSS 0.2%CVE-2026-105397MEDIUMLearnPress WordPress Plugin through 4.4.9.1 Stored XSS via Quiz Question Hint and ExplanationEPSS 0.2%CVE-2026-105879MEDIUMWordPress JetElements For Elementor plugin <= 2.9.2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-100509MEDIUMWordPress RepairBuddy plugin <= 4.1225 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-108482MEDIUMWordPress Premium Addons for Elementor plugin <= 4.11.110 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24573MEDIUMWordPress Visualizer plugin < 4.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24710MEDIUMNorthern.tech CFEngine Enterprise before 3.21.8, 3.24.3, and 3.27.0 allows XSS.EPSS 0.2%CVE-2026-49773MEDIUMWordPress FV Flowplayer Video Player plugin < 7.5.51.7212 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-97270MEDIUMWordPress CMB2 plugin <= 2.13.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%