Weaknesses of type CWE-79

30,630 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-1607MEDIUMSurbma | Booking.com <= 2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2026-6173MEDIUMBold Page Builder <= 5.7.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'background_image' ParameterEPSS 0.2%CVE-2026-67165MEDIUMHCL Connections is vulnerable to cross-site scripting (XSS)EPSS 0.2%CVE-2025-14814MEDIUMCSS & JavaScript Toolbox <= 12.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via cjtoolbox ShortcodeEPSS 0.2%CVE-2026-93535MEDIUMWP Dark Mode – Improve Accessibility with AI Powered Dark Theme <= 5.3.17 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon_light' Shortcode AttributeEPSS 0.2%CVE-2026-6172MEDIUMBold Page Builder <= 5.7.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'caption' ParameterEPSS 0.2%CVE-2024-23511MEDIUMWordPress The Plus Addons for Elementor plugin <= 5.3.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-41846MEDIUMSpring Framework Cross-site Scripting via JSP Form TagsEPSS 0.2%CVE-2026-32540HIGHWordPress Bookly plugin <= 26.7 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-14877MEDIUMData Tables Generator by Supsystic <= 1.12.03 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table 'id' HTML AttributeEPSS 0.2%CVE-2026-23752MEDIUMGFI HelpDesk < 4.99.9 Stored XSS via companyname ParameterEPSS 0.2%CVE-2026-32455MEDIUMWordPress MDTF plugin <= 1.3.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-50001HIGHWordPress tagDiv Composer plugin <= 5.4.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32454MEDIUMWordPress Avada Core plugin < 5.15.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-93463MEDIUMA cross-site scripting vulnerability via script validation bypass exists in baserCMS. If this vulnerability is exploited, an arbitrary scripEPSS 0.2%CVE-2026-66077HIGHRabbitMQ: Stored XSS via TLS peer-certificate DN in management UIEPSS 0.2%CVE-2026-23753MEDIUMGFI HelpDesk < 4.99.9 Stored XSS via charset ParameterEPSS 0.2%CVE-2026-4754MEDIUMCWE-79 in MolotovCherry Android-ImageMagick7EPSS 0.2%CVE-2026-32450MEDIUMWordPress Active Products Tables for WooCommerce plugin <= 1.0.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-68836HIGHWordPress Table of Contents Creator plugin <= 1.6.4.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%