Weaknesses of type CWE-79

29,596 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-4424MEDIUMStored XSS in CemiParkEPSS 0.4%CVE-2026-1630MEDIUMReflected XSS in WEBCON BPSEPSS 0.4%CVE-2025-71385MEDIUMNetdata < 2.3.1 - Reflected Cross-Site Scripting via love Parameter in ilove.svg EndpointEPSS 0.4%CVE-2024-2141MEDIUMUltimate Addons for Beaver Builder – Lite <= 1.5.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button WidgetEPSS 0.4%CVE-2024-6942MEDIUMThinkSAAS Admin Panel Security Center anti.php cross site scriptingEPSS 0.4%CVE-2023-5704MEDIUMCPO Shortcodes <= 1.5.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2024-2144MEDIUMUltimate Addons for Beaver Builder – Lite <= 1.5.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image Separator WidgetEPSS 0.4%CVE-2026-55839HIGHKestra: Stored XSS via custom Markdown [[link]] attribute injectionEPSS 0.4%CVE-2025-64716MEDIUMAnubis vulnerable to possible XSS via redir parameter when using subrequest auth modeEPSS 0.4%CVE-2026-72730HIGHDiscourse: Stored XSS chat-transcript username unescaped in Rich Text EditorEPSS 0.4%CVE-2026-45116HIGHMyBB: Profile field type confusion XSSEPSS 0.4%CVE-2026-2276MEDIUMReflected Cross-Site Scripting in the Wix web applicationEPSS 0.4%CVE-2024-1697MEDIUMCustom WooCommerce Checkout Fields Editor <= 1.3.1 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-5507MEDIUMImageMapper <= 1.2.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2026-92991MEDIUMBiggopti Library (Various Versions) - Cross-Site Scripting via display_id from Sigmative APIEPSS 0.4%CVE-2023-5076MEDIUMZiteboard Online Whiteboard <= 2.9.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via ziteboard ShortcodeEPSS 0.4%CVE-2024-0467LOWcode-projects Employee Profile Management System edit_position_query.php cross site scriptingEPSS 0.4%CVE-2022-50906MEDIUMe107 CMS v3.2.1 - Admin Upload Restriction Bypass + Stored XSSEPSS 0.4%CVE-2025-3568MEDIUMWebkul Krayin CRM SVG File edit cross site scriptingEPSS 0.4%CVE-2024-11414MEDIUMRecipePress Reloaded <= 2.12.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%