Weaknesses of type CWE-79

29,917 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-40649MEDIUMMúltiples vulnerabilidades en Negotiator de BBMRI-ERICEPSS 0.4%CVE-2025-46946MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2026-5092MEDIUMGreenshift <= 12.8.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Data URIEPSS 0.4%CVE-2023-3541LOWThinuTech ThinuCMS author_posts.php cross site scriptingEPSS 0.4%CVE-2024-5647MEDIUMMultiple Plugins <= (Various Versions) - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Magnific Popups JavaScript LibraryEPSS 0.4%CVE-2024-9776MEDIUMImagePress - Image Gallery <= 1.2.2 - Authenticated (Administrator+) Stored Cross-Site Scripting via Plugin SettingsEPSS 0.4%CVE-2023-3835LOWBug Finder MineStack Ticket create cross site scriptingEPSS 0.4%CVE-2024-12060MEDIUMWP Media Optimizer (.webp) <= 1.4.0 - Reflected Cross-Site Scripting via wpmowebp-css-resources and wpmowebp-js-resources ParametersEPSS 0.4%CVE-2023-3540LOWSimplePHPscripts NewsLetter Script PHP URL Parameter preview.php cross site scriptingEPSS 0.4%CVE-2026-6641MEDIUMMedia Library Assistant <= 3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'mla_link_href' Shortcode ParameterEPSS 0.4%CVE-2024-45609MEDIUMGLPI has a Reflected XSS in /front/stat.graph.phpEPSS 0.4%CVE-2023-3537LOWSimplePHPscripts News Script PHP Pro URL Parameter preview.php cross site scriptingEPSS 0.4%CVE-2024-31448HIGHCross-site Scripting vulnerability in link CSV import in Combodo iTopEPSS 0.4%CVE-2026-18062MEDIUMKadence Blocks <= 3.7.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Identity Block Inner Image ContentEPSS 0.4%CVE-2024-12323MEDIUMturboSMTP <= 4.6 - Reflected Cross-Site Scripting via 'page'EPSS 0.4%CVE-2021-4195MEDIUMXSS in Firmanet Software and Technology Customer Relation ManagerEPSS 0.4%CVE-2025-46973MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.4%CVE-2026-13733MEDIUMDownload Manager <= 3.3.60 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'no_data_msg' Shortcode AttributeEPSS 0.4%CVE-2026-18547MEDIUMUltimate Member <= 2.12.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Textarea Profile Field with HTML Support (DOM Gadget via id Attribute)EPSS 0.4%CVE-2023-3794LOWBug Finder ChainCity Real Estate Investment Platform New Ticket create cross site scriptingEPSS 0.4%