Weaknesses of type CWE-79

29,566 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-1031LOWCodeAstro Expense Management System Add Expenses Page 5-Add-Expenses.php cross site scriptingEPSS 0.4%CVE-2026-11614MEDIUMXpro Addons <= 1.7.2 - Authenticated (Author+) Stored Cross-Site Scripting via 'custom_attributes' Parameter of Multiple WidgetsEPSS 0.4%CVE-2026-4078MEDIUMITERAS <= 1.8.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.4%CVE-2026-91159HIGHDiscourse: Stored oEmbed HTML injection via allowed iframeEPSS 0.4%CVE-2024-29278MEDIUMfunboot v1.1 is vulnerable to Cross Site Scripting (XSS) via the title field in "create a message ."EPSS 0.4%CVE-2026-73650HIGHSVGO: removeScripts plugin leaves some executable scripts intactEPSS 0.4%CVE-2023-5745MEDIUMReusable Text Blocks <= 1.5.3 - Authenticated (Author+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2024-8144MEDIUMClassCMS Logo admin cross site scriptingEPSS 0.4%CVE-2026-4076MEDIUMSlider Bootstrap Carousel <= 1.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.4%CVE-2024-11445MEDIUMImage Magnify <= 1.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-22496MEDIUMCross Site Scripting (XSS) vulnerability in JFinalcms 5.0.0 allows attackers to run arbitrary code via the /admin/login username parameter.EPSS 0.4%CVE-2025-2049MEDIUMcode-projects Blood Bank System AB+.php cross site scriptingEPSS 0.4%CVE-2026-4801MEDIUMPage Builder Gutenberg Blocks <= 3.1.16 - Authenticated (Contributor+) Stored Cross-Site Scripting via External iCal Feed DataEPSS 0.4%CVE-2022-45084HIGHWordPress Loginizer Plugin <= 1.7.5 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2026-15333MEDIUMCozy Blocks <= 2.2.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'cozyCustomFont' Block AttributeEPSS 0.4%CVE-2025-24320MEDIUMBIG-IP Configuration utility vulnerabilityEPSS 0.4%CVE-2026-18400MEDIUMSlider, Gallery, and Carousel by MetaSlider <= 3.111.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'delay' Post Meta SettingEPSS 0.4%CVE-2026-8677MEDIUMPrime Elementor Addons <= 1.3.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Widget HTML Tag SettingsEPSS 0.4%CVE-2026-43887HIGHOutline: Stored XSS via Comment MentionsEPSS 0.4%CVE-2026-4084MEDIUMfyyd podcast shortcodes <= 0.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'color' Shortcode AttributeEPSS 0.4%