Weaknesses of type CWE-79

29,818 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-30545MEDIUMWordPress issuuPress plugin <= 1.3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-30441HIGHWordPress Combo Blocks plugin <= 2.2.74 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-34913MEDIUMAn arbitrary file upload vulnerability in r-pan-scaffolding v5.0 and below allows attackers to execute arbitrary code via uploading a crafteEPSS 0.4%CVE-2025-6695MEDIUMLabRedesCefetRJ WeGIA Additional Categoria adicionar_categoria.php cross site scriptingEPSS 0.4%CVE-2025-30540MEDIUMWordPress AvaiBook plugin <= 1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-6697MEDIUMLabRedesCefetRJ WeGIA Adicionar tipo adicionar_tipoEntrada.php cross site scriptingEPSS 0.4%CVE-2025-30537MEDIUMWordPress Upload Quota per User plugin <= 1.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.4%CVE-2025-6696MEDIUMLabRedesCefetRJ WeGIA Cadastro de Atendio Cadastro_Atendido.php cross site scriptingEPSS 0.4%CVE-2026-42794LOWReflected XSS via backslash bypass in GraphiQL js_escape in absinthe_plugEPSS 0.4%CVE-2024-29121HIGHWordPress WooCommerce License Manager plugin <= 5.3.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-29097MEDIUMWordPress User profile plugin <= 2.0.20 - Subscriber+ Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-6698MEDIUMLabRedesCefetRJ WeGIA Adicionar tipo adicionar_tipoSaida.php cross site scriptingEPSS 0.4%CVE-2025-30539MEDIUMWordPress BMo Expo plugin <= 1.0.15 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-40739MEDIUMA cross-site scripting (XSS) vulnerability in netbox v4.0.3 allows attackers to execute arbitrary web scripts or HTML via a crafted payload EPSS 0.4%CVE-2025-24579MEDIUMWordPress Nested pages plugin <= 3.2.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-27800MEDIUMStored Cross-Site Scripting in Episerver Content Management System (CMS) Admin DashboardEPSS 0.4%CVE-2024-22357MEDIUMIBM Sterling B2B Integrator cross-site scriptingEPSS 0.4%CVE-2026-8661MEDIUMServer-Side Cross-Site Scripting and SSRF in Rapid7 InsightConnect Markdown to PDF PluginEPSS 0.4%CVE-2025-30536MEDIUMWordPress Beautiful Link Preview plugin <= 1.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-37783MEDIUMA reflected cross-site scripting (XSS) vulnerability in Gladinet CentreStack v13.12.9934.54690 allows attackers to inject malicious JavaScriEPSS 0.4%