Weaknesses of type CWE-79

30,642 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-118553MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-273EPSS 0.1%CVE-2026-103344HIGHWordPress Unlimited Elements For Elementor (Free Widgets, Addons, Templates) plugin <= 2.0.20 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.1%CVE-2026-52702HIGHWordPress SEO Redirection plugin <= 9.17 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.1%CVE-2025-15703LOWWP Job Openings < 4.0.0 - Admin+ Stored XSSEPSS 0.1%CVE-2026-9061LOWAgile Store Locator < 1.6.9 - Admin+ Stored XSS via logo_nameEPSS 0.1%CVE-2026-14234HIGHWOLF - WordPress Posts Bulk Editor and Manager < 1.1.0 - Stored XSS via CSRFEPSS 0.1%CVE-2026-1276MEDIUMIBM QRadar SIEM Cross-Site ScriptingEPSS 0.1%CVE-2026-27937LOWOctober: Reflected XSS via DataTable Form WidgetEPSS 0.1%CVE-2025-15051MEDIUMIBM QRadar SIEM Cross-Site ScriptingEPSS 0.1%CVE-2026-14239HIGHTourmaster < 5.4.8 - Stored XSS via CSRFEPSS 0.1%CVE-2026-78393MEDIUMLink Library < 7.9.6 - Reflected XSS via 'link_tags' and 'link_price' Sort and Breadcrumb LinksEPSS 0.1%CVE-2026-33244MEDIUMReact Router has stored XSS via unescaped Location header in prerendered redirect HTMLEPSS 0.1%CVE-2026-41692MEDIUMi18nextify is vulnerable to DOM XSS via javascript:/data: URL schemes in translated href/src attributesEPSS 0.1%CVE-2026-5782MEDIUMReflected XSS in MRV Technology's TurkHotspotEPSS 0.1%CVE-2026-34818MEDIUMEndian Firewall /manage/dnsmasq/localdomains/ remark Stored Cross-Site ScriptingEPSS 0.1%CVE-2026-34823MEDIUMEndian Firewall /manage/password/web/ remark Stored Cross-Site ScriptingEPSS 0.1%CVE-2026-34816MEDIUMEndian Firewall /manage/smtpscan/domainrouting/ domain Stored Cross-Site ScriptingEPSS 0.1%CVE-2025-71276MEDIUMSOGo before 5.12.5 is prone to a XSS vulnerability with events, tasks, and contacts categories.EPSS 0.1%CVE-2026-34811MEDIUMEndian Firewall /cgi-bin/xtaccess.cgi remark Stored Cross-Site ScriptingEPSS 0.1%CVE-2026-8078MEDIUMFix stored XSS in global settings change logEPSS 0.1%