Weaknesses of type CWE-79

29,645 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-32135MEDIUMWordPress Split Test For Elementor plugin <= 1.8.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-12799MEDIUMJastow: jastow cross-site scripting attack due to unsanitized uriEPSS 0.4%CVE-2022-45831HIGHWordPress Image Hover Effects - Caption Hover with Carousel Plugin <= 2.8 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2026-11903HIGHStored XSS in MOVEit Transfer Ad Hoc moduleEPSS 0.4%CVE-2026-3659MEDIUMWP Circliful <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeEPSS 0.4%CVE-2024-13213MEDIUMSingMR HouseRent toAdminUpdateHousePage cross site scriptingEPSS 0.4%CVE-2025-32136MEDIUMWordPress ActiveCampaign Plugin <= 8.1.16 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-12338MEDIUMWebsite Toolbox Community <= 2.0.1 - Reflected Cross-Site Scripting via websitetoolbox_usernameEPSS 0.4%CVE-2026-92561MEDIUMBooking Calendar <= 11.8.2 - Reflected Cross-Site Scripting via 'options' ParameterEPSS 0.4%CVE-2022-45837HIGHWordPress 微信机器人高级版 Plugin <= 6.0.1 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2026-4081MEDIUMZeM STL <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.4%CVE-2024-32721MEDIUMWordPress Jeg Elementor Kit plugin <= 2.6.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-3796MEDIUMCross-site Scripting vulnerability in WBSAirbackEPSS 0.4%CVE-2026-4088MEDIUMSwitch CTA Box <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2026-33230MEDIUMnltk Vulnerable to Cross-site ScriptingEPSS 0.4%CVE-2025-32131MEDIUMWordPress Social Intents plugin <= 1.6.19 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.4%CVE-2024-12933MEDIUMcode-projects Simple Admin Panel updateItemController.php cross site scriptingEPSS 0.4%CVE-2024-12156MEDIUMAI Content Writer, RSS Feed to Post, Autoblogging SEO Help <= 6.1.3 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2026-3618MEDIUMColumns by BestWebSoft <= 1.0.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'columns' Shortcode 'id' AttributeEPSS 0.4%CVE-2023-0869MEDIUMCross-site scripting in outage/list.htmEPSS 0.4%