Weaknesses of type CWE-79

30,643 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-91832HIGHWP Mobile Menu 2.7.4 - 2.8.8 - Stored XSS via CSRFEPSS 0.1%CVE-2026-121912MEDIUMAdobe Connect | Cross-site Scripting (XSS) (CWE-79)EPSS —CVE-2026-125454MEDIUMWordPress Passster plugin <= 4.3.21 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2025-15714LOWLive Composer < 2.1.24 - Admin+ Stored XSS via ButtonEPSS —CVE-2026-67175MEDIUMChargemap stored XSSEPSS —CVE-2026-125708MEDIUMWordPress Element Pack Elementor Addons plugin <= 10.0.4 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-121904CRITICALAdobe Connect | Cross-site Scripting (Stored XSS) (CWE-79)EPSS —CVE-2026-125340MEDIUMWinter CMS: Reflected XSS through the search query parameter in the backend Table widgetEPSS —CVE-2025-15712LOWLive Composer < 2.1.24 - Admin+ Stored XSS via StaffEPSS —CVE-2026-126069MEDIUMAction View: Possible XSS vulnerability in Action View tag helpersEPSS —CVE-2026-12427HIGHARforms <= 7.2.4 - Unauthenticated Stored Cross-Site Scripting via 'description' ParameterEPSS —CVE-2026-126567MEDIUMSemantic MediaWiki 3.0.0 before 7.4.1 Stored XSS via Special:Ask Debug OutputEPSS —CVE-2026-26248HIGHA improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Fortinet FortiSandbox 5.0.0 through EPSS —CVE-2026-109497HIGHMicrosoft Office SharePoint Spoofing VulnerabilityEPSS —CVE-2026-124250HIGHWordPress GeoDirectory plugin <= 2.8.202 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-64671HIGHStored XSS in the @waline/client UserList widget via an unescaped commenter link fieldEPSS —CVE-2026-125781MEDIUMWordPress Event post plugin <= 6.1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-123480MEDIUMWordPress Display Eventbrite Events plugin <= 6.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-126569MEDIUMMbin 1.2.1 before 1.11.1 Stored XSS via Markdown Image Nested in LinkEPSS —CVE-2026-109454CRITICALMicrosoft Office SharePoint Spoofing VulnerabilityEPSS —