Weaknesses of type CWE-79

30,643 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-126559MEDIUMSemantic MediaWiki 4.2.0 before 7.4.1 Stored XSS via Special:FacetedSearchEPSS —CVE-2026-116926HIGHMicrosoft Teams Spoofing VulnerabilityEPSS —CVE-2026-125680MEDIUMWordPress Bold Page Builder plugin <= 5.9.11 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-124411MEDIUMWordPress SureCart plugin <= 4.12.1 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-109456MEDIUMMicrosoft Office SharePoint Spoofing VulnerabilityEPSS —CVE-2026-123478HIGHWordPress AI Engine plugin <= 3.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-119035MEDIUMSchema & Structured Data for WP & AMP < 1.70 - Contributor+ Stored XSS via JSON-LD Pretty PrintEPSS —CVE-2026-108338—Apache Roller: Stored cross-site scripting through AtomPub entry tagsEPSS —CVE-2026-123259MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS —CVE-2026-126563MEDIUMSemantic MediaWiki 2.4.0 before 7.4.1 Reflected XSS via Special:Ask Date FormatEPSS —CVE-2026-118481MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS —CVE-2026-124752MEDIUMWordPress Element Pack Elementor Addons plugin <= 10.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-126063LOWNokogiri: Mutation XSS through `noscript` content in Nokogiri's HTML5 serializerEPSS —CVE-2026-119531MEDIUMLive Composer < 2.1.24 - Contributor+ Stored XSS via Module Area ShortcodeEPSS —CVE-2026-125450MEDIUMWordPress SureRank plugin <= 1.10.3 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-125433MEDIUMWordPress Futurio Extra plugin <= 2.0.25 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-125878HIGHMultiple OGNL Injection vulnerabilitiesEPSS —CVE-2026-120212—Web::Simple versions before 0.037 for Perl do not escape single quotes in HTML::Tags outputEPSS —CVE-2026-123258MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS —CVE-2026-40853—Apache XML Graphics Batik: Cross-Site Scripting via Unencoded Font Metadata in Apache Batik SVGFontEPSS —