Weaknesses of type CWE-79

30,025 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-70545MEDIUMA stored cross-site scripting (XSS) vulnerability exists in the web management interface of the PPC (Belden) ONT 2K05X router running firmwaEPSS 0.3%CVE-2026-53472MEDIUMMigration-planner: credentialurl validator accepts javascript: urlsEPSS 0.3%CVE-2023-43378MEDIUMA cross-site scripting (XSS) vulnerability in Hoteldruid v3.0.5 allows attackers to execute arbitrary web scripts or HTML via a crafted paylEPSS 0.3%CVE-2025-32599HIGHWordPress Task Scheduler Plugin <= 1.6.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-11752MEDIUMEveeno <= 1.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-32586HIGHWordPress ABA PayWay Payment Gateway for WooCommerce Plugin <= 2.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-23514MEDIUMWordPress Click To Tweet Plugin <= 2.0.14 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2025-8545MEDIUMPortabilis i-Educar educar_motivo_afastamento_cad.php cross site scriptingEPSS 0.3%CVE-2025-13617MEDIUMApollo13 Framework Extension <= 1.9.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via `a13_alt_link` ParameterEPSS 0.3%CVE-2024-49661HIGHWordPress leenk.me plugin <= 2.16.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9045MEDIUMEasy Elementor Addons <= 2.2.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-12527MEDIUMPerfect Portal Widgets <= 3.0.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11881MEDIUMEasy Waveform Player <= 1.2.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-23516MEDIUMWordPress CC BMI Calculator Plugin <= 2.0.1 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-5766MEDIUMLikeshop Merchandise admin cross site scriptingEPSS 0.3%CVE-2024-11452MEDIUMChamber Dashboard Business Directory <= 3.3.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11899MEDIUMSlider Pro Lite <= 1.4.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-12591MEDIUMMagicPost <= 1.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via wb_share_social ShortcodeEPSS 0.3%CVE-2024-11906MEDIUMTPG Get Posts <= 3.6.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-12699MEDIUMService Box <= 1.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%