Weaknesses of type CWE-79

29,846 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-89254CRITICALAVideo CustomizeUser Stored XSS via field_name ParameterEPSS 0.4%CVE-2024-33998MEDIUMmoodle: stored XSS via user's name on participants page when opening some optionsEPSS 0.4%CVE-2024-9411MEDIUMOFCMS add.json add cross site scriptingEPSS 0.4%CVE-2026-49436HIGHLinkAce vulnerable to stored XSS via 'javascript:' URI in Bulk Link APIEPSS 0.4%CVE-2026-89249CRITICALAVideo YPTWallet Stored XSS via CryptoWallet ConfigurationEPSS 0.4%CVE-2025-6353MEDIUMcode-projects Responsive Blog search.php cross site scriptingEPSS 0.4%CVE-2025-0464MEDIUMSourceCodester Task Reminder System Maintenance Section cross site scriptingEPSS 0.4%CVE-2024-1168MEDIUMSEOPress – On-site SEO <= 7.9 - Authenticated(Contributor+) Stored Cross-Site Scripting via Social Image URLEPSS 0.4%CVE-2024-51798MEDIUMWordPress Surbma | Font Awesome plugin <= 3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-51833MEDIUMWordPress Easy Social Sharebar plugin <= 1.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-87814HIGHSiYuan before v3.8.2 Stored XSS via Asset PreviewEPSS 0.4%CVE-2024-2171LOWStored XSS in zenml-io/zenmlEPSS 0.4%CVE-2025-22525MEDIUMWordPress Donation Block For PayPal Plugin <= 2.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-88868CRITICALAVideo LiveLinks Stored XSS via title and description fieldsEPSS 0.4%CVE-2025-15170MEDIUMAdvaya Softech GEMS ERP Portal Error Message home.jsp cross site scriptingEPSS 0.4%CVE-2024-32769MEDIUMPhoto StationEPSS 0.4%CVE-2025-11946MEDIUMLogicalDOC Community Edition Add Contact frontend.jsp cross site scriptingEPSS 0.4%CVE-2024-3174HIGHInappropriate implementation in V8 in Google Chrome prior to 119.0.6045.105 allowed a remote attacker to potentially exploit object corruptiEPSS 0.4%CVE-2023-27628MEDIUMWordPress Sitekit Plugin <= 1.3 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2024-21516LOWThis affects versions of the package opencart/opencart from 4.0.0.0 and before 4.1.0.0. A reflected XSS issue was identified in the directorEPSS 0.4%