Weaknesses of type CWE-79

29,827 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-31805MEDIUMWordPress Gutena Kit plugin <= 2.0.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-31813MEDIUMWordPress WPSHARE247 Elementor Addons plugin <= 2.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-11751MEDIUMTCBD Popover <= 1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2025-25084MEDIUMWordPress UniTimetable plugin <= 1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-90850MEDIUMPHPGurukul Hostel Management System manage-students.php cross site scriptingEPSS 0.4%CVE-2024-1030LOWCogites eReserv tenancyDetail.php cross site scriptingEPSS 0.4%CVE-2025-31766MEDIUMWordPress PhotoShelter for Photographers Blog Feed plugin <= 1.5.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-84960MEDIUMWP-Members Membership Plugin <= 3.5.6 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2025-24709MEDIUMWordPress Plethora Plugins Tabs + Accordions plugin <= 1.1.5 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-93655MEDIUMBooking Calendar <= 11.8.3 - Reflected Cross-Site Scripting via 'wpbc_auto_fill' ParameterEPSS 0.4%CVE-2025-30826MEDIUMWordPress IP Locator plugin <= 4.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-31735MEDIUMWordPress Footnotes for WordPress plugin <= 2016.1230 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.4%CVE-2025-31748MEDIUMWordPress Opal Portfolio Plugin <= 1.0.4 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-31759MEDIUMWordPress Boo Recipes plugin <= 2.4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-5379MEDIUMJFinalCMS template cross site scriptingEPSS 0.4%CVE-2025-31771MEDIUMWordPress Team Members for Elementor Page Builder plugin <= 1.0.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-30850MEDIUMWordPress Dr. Flex plugin <= 2.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-92249MEDIUMQi Addons For Elementor <= 1.11 - Reflected DOM-Based Cross-Site Scripting via 's' ParameterEPSS 0.4%CVE-2026-89330MEDIUMEmbedPress <= 4.6.5 - Reflected Cross-Site Scripting via 'hash' and 'unique' ParametersEPSS 0.4%CVE-2025-30836MEDIUMWordPress LatePoint plugin <= 5.1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%