Weaknesses of type CWE-79

29,521 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2023-31163MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2023-31155MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2023-31157MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2026-55466MEDIUMSnipe-IT: Stored XSS via inline-served attachmentEPSS 0.4%CVE-2024-22548MEDIUMFlyCms 1.0 is vulnerable to Cross Site Scripting (XSS) in the system website settings website name section.EPSS 0.4%CVE-2023-31158MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2023-31160MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2024-7812MEDIUMSourceCodester Best House Rental Management System POST Parameter ajax.php cross site scriptingEPSS 0.4%CVE-2024-53257MEDIUMVitess allows HTML injection in /debug/querylogz & /debug/envEPSS 0.4%CVE-2023-31165MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2025-8535MEDIUMcronoh NanoVault xrb URL main.js executeJavaScript cross site scriptingEPSS 0.4%CVE-2021-40555MEDIUMCross site scripting (XSS) vulnerability in flatCore-CMS 2.2.15 allows attackers to execute arbitrary code via description field on the new EPSS 0.4%CVE-2025-3326MEDIUMiteaj iboot 物联网网关 File Upload upload cross site scriptingEPSS 0.4%CVE-2024-6941MEDIUMThinkSAAS do.php cross site scriptingEPSS 0.4%CVE-2024-28237MEDIUMOctoPrint XSS via the "Snapshot Test" feature in Classic Webcam plugin settingsEPSS 0.4%CVE-2023-4960MEDIUMWCFM Marketplace <= 3.6.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2023-52322MEDIUMecrire/public/assembler.php in SPIP before 4.1.13 and 4.2.x before 4.2.7 allows XSS because input from _request() is not restricted to safe EPSS 0.4%CVE-2023-1702MEDIUMCross-site Scripting (XSS) - Generic in pimcore/pimcoreEPSS 0.4%CVE-2024-3974MEDIUMBuddyPress <= 12.4.0 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-46967MEDIUMCross Site Scripting vulnerability in the sanitize function in Enhancesoft osTicket 1.18.0 allows a remote attacker to escalate privileges vEPSS 0.4%