Weaknesses of type CWE-79

29,869 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-5378MEDIUMAstun Technology iShare Maps mycouncil2.aspx cross site scriptingEPSS 0.4%CVE-2025-7500MEDIUMOcean Social Sharing <= 2.2.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-13156MEDIUMHTML5 Video Player – mp4 Video Player Plugin and Block <= 2.5.35 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via heading ParameterEPSS 0.4%CVE-2023-3855LOWphpscriptpoint JobSeeker search-result.php cross site scriptingEPSS 0.4%CVE-2025-8786MEDIUMPortabilis i-Diario Registro das atividades registros-de-conteudos-por-areas-de-conhecimento cross site scriptingEPSS 0.4%CVE-2025-54295MEDIUMExtension - dj-extensions.com - Reflected XSS vulnerability in DJ-Reviews component 1.0-1.3.6 for JoomlaEPSS 0.4%CVE-2024-45057MEDIUMReflected Cross-Site Scripting in i-EducarEPSS 0.4%CVE-2023-2021MEDIUMCross-site Scripting (XSS) - Stored in nilsteampassnet/teampassEPSS 0.4%CVE-2025-5377MEDIUMAstun Technology iShare Maps historic1.asp cross site scriptingEPSS 0.4%CVE-2024-8920MEDIUMFonto – Custom Web Fonts Manager <= 1.2.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.4%CVE-2022-40204MEDIUMA cross-site scripting (XSS) vulnerability exists in all current versions of Digital Alert Systems DASDEC software via the Host Header in unEPSS 0.4%CVE-2023-3853LOWphpscriptpoint BloodBank page.php cross site scriptingEPSS 0.4%CVE-2024-9895MEDIUMSmart Online Order for Clover <= 1.5.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via moo_receipt_link ShortcodeEPSS 0.4%CVE-2026-3327MEDIUMAuthenticated DatoCMS Web Previews Plugin Iframe InjectionEPSS 0.4%CVE-2025-22613MEDIUMWeGIA Cross-Site Scripting (XSS) Stored endpoint 'informacao_adicional.php' parameter 'descricao'EPSS 0.4%CVE-2024-36216MEDIUMAdobe Experience Manager | Cross-site Scripting (Reflected XSS) (CWE-79)EPSS 0.4%CVE-2025-30314MEDIUMAdobe Connect | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2023-0639LOWTRENDnet TEW-652BRP Web Management Interface get_set.ccp cross site scriptingEPSS 0.4%CVE-2024-9027MEDIUMWPZOOM Shortcodes <= 1.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via box ShortcodeEPSS 0.4%CVE-2023-3754LOWCreativeitem Ekushey Project Manager CRM xxxxxxxx[random-msg-hash] cross site scriptingEPSS 0.4%