Weaknesses of type CWE-79

29,496 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2021-31740MEDIUMSEPPMail's web frontend, user input is not embedded correctly in the web page and therefore leads to cross-site scripting vulnerabilities (XEPSS 0.4%CVE-2022-50587MEDIUMNagios XI < 5.8.9 Stored XSS via Command Names in Apply Config Error TextEPSS 0.4%CVE-2023-0369—GoToWP <= 5.1.1 - Contributor+ Stored XSSEPSS 0.4%CVE-2024-20273MEDIUMCisco Firepower Management Center Software Cross-Site Scripting VulnerabilityEPSS 0.4%CVE-2026-45014MEDIUMApostrophe Vulnerable to Stored Cross-Site Scripting via Unsanitized User Display Name in Draft Version TooltipEPSS 0.4%CVE-2021-47842MEDIUMStudyMD 0.3.2 - Persistent Cross-Site ScriptingEPSS 0.4%CVE-2021-47840MEDIUMMoeditor 0.2.0 - Persistent Cross-Site ScriptingEPSS 0.4%CVE-2026-66919MEDIUMStored DOM-Based Cross-Site Scripting in Node Modal HeadersEPSS 0.4%CVE-2026-26724HIGHCross Site Scripting vulnerability in Key Systems Inc Global Facilities Management Software v. 20230721a allows a remote attacker to executeEPSS 0.4%CVE-2026-66825MEDIUMCross-Site Scripting via Unsafe URL Schemes in Pivotick Property LinksEPSS 0.4%CVE-2021-23260MEDIUMStored XSS Vulnerability in File Name of the File Upload functionEPSS 0.4%CVE-2022-50585MEDIUMNagios XI < 5.8.9 Core Config Manager (CCM) XSS via Audit Log Page Search InputEPSS 0.4%CVE-2026-44651MEDIUMSillyTavern: Reflected XSS vulnerability in the CORS proxy middlewareEPSS 0.4%CVE-2023-0891MEDIUMStagtools < 2.3.7 - Contributor+ Stored XSSEPSS 0.4%CVE-2026-44371MEDIUMOpen OnDemand: Specially crafted filenames can execute javascript in the file browserEPSS 0.4%CVE-2025-4608MEDIUMStructured Content <= 1.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via sc_fs_local_business ShortcodeEPSS 0.4%CVE-2026-66921MEDIUMPivotick - Stored DOM-Based Cross-Site Scripting via Unescaped Markdown Node ReferencesEPSS 0.4%CVE-2022-50588MEDIUMNagios XI < 5.8.9 Stored XSS in Update CheckingEPSS 0.4%CVE-2023-0109CRITICALStored XSS in usememos/memosEPSS 0.4%CVE-2023-5323MEDIUMCross-site Scripting (XSS) - Generic in dolibarr/dolibarrEPSS 0.4%