Weaknesses of type CWE-79

30,009 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-22139MEDIUMWeGIA Cross-Site Scripting (XSS) Reflected endpoint `configuracao_geral.php` parameter `msg`EPSS 0.3%CVE-2026-90695MEDIUMSourceCodester Inventory Management System Vendor Management vendors_handler.php cross site scriptingEPSS 0.3%CVE-2026-59923MEDIUMMistune: XSS via percent-encoded javascript URI bypass in safe_url()EPSS 0.3%CVE-2026-55592LOWDashy: XSS in workspace url parameterEPSS 0.3%CVE-2026-90529MEDIUMDataEase Symbolic Map symbolic-map.ts buildTooltip cross site scriptingEPSS 0.3%CVE-2021-24912—Transposh WordPress Translation < 1.0.8 - CSRF to Stored XSSEPSS 0.3%CVE-2025-1553MEDIUMpankajindevops scale project cross site scriptingEPSS 0.3%CVE-2023-47699MEDIUMIBM Secure Proxy cross-site scriptingEPSS 0.3%CVE-2026-92214MEDIUMa2ui-project a2ui a2a-chat-canvas sanitizer-markdown-renderer-service.ts cross site scriptingEPSS 0.3%CVE-2026-92418MEDIUMChangeWeDer crm Save Endpoint customer.serve.js cross site scriptingEPSS 0.3%CVE-2025-60739CRITICALCross Site Request Forgery (CSRF) vulnerability in Ilevia EVE X1 Server Firmware Version v4.7.18.0.eden and before, Logic Version v6.00 - 20EPSS 0.3%CVE-2024-22128MEDIUMCross-Site Scripting (XSS) vulnerability in SAP NetWeaver Business Client for HTMLEPSS 0.3%CVE-2024-41351MEDIUMbjyadmin commit a560fd5 is vulnerable to Cross Site Scripting (XSS) via Public/statics/umeditor1_2_3/php/getContent.phpEPSS 0.3%CVE-2026-93505MEDIUMSveltyCMS SVG Media Upload media-service.server.ts cross site scriptingEPSS 0.3%CVE-2026-94034MEDIUMSourceCodester Drug Recommendation System Password Change change_password cross site scriptingEPSS 0.3%CVE-2026-85207MEDIUMitsourcecode Online Medicine Delivery System index.php cross site scriptingEPSS 0.3%CVE-2024-50656MEDIUMitsourcecode Placement Management System 1.0 is vulnerable to Cross Site Scripting (XSS) via the Full Name field in registration.php.EPSS 0.3%CVE-2026-90696MEDIUMSourceCodester Inventory Management System Product Management products_handler.php cross site scriptingEPSS 0.3%CVE-2026-90604MEDIUMTotolink A3002MU Anchor Tag cross site scriptingEPSS 0.3%CVE-2024-8799MEDIUMCustom Banners <= 3.3 - Reflected Cross-Site ScriptingEPSS 0.3%