Weaknesses of type CWE-79

30,064 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-5724MEDIUMSourceCodester Student Result Management System Subjects Page subjects cross site scriptingEPSS 0.3%CVE-2024-9642MEDIUMEditor Custom Color Palette <= 3.3.7 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-4432MEDIUMPiotnet Addons For Elementor <= 2.4.26 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.3%CVE-2026-115534MEDIUMgedelumbung HospitalManagement Contact Form contact.php kirim cross site scriptingEPSS 0.3%CVE-2025-3643MEDIUMMoodle: reflected xss risk in policy toolEPSS 0.3%CVE-2024-4342MEDIUMRoyal Elementor Addons and Templates <= 1.3.975 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-8103MEDIUMWP Category Dropdown <= 1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via align ParameterEPSS 0.3%CVE-2021-25656MEDIUMAvaya Aura Experience Portal XSS vulnerabilitiesEPSS 0.3%CVE-2026-30235MEDIUMBusiness Logic Error on OpenProject through hyperlinks in markdown using DOM clobberingEPSS 0.3%CVE-2026-50742MEDIUMA stored XSS vulnerabilities exists in the `maintenance-acl-check.php` and `maintenance-banners-check.php` tools of Revive Adserver 6.0.7. TEPSS 0.3%CVE-2026-13179MEDIUMWP Maps <= 4.9.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via shapes_values ParameterEPSS 0.3%CVE-2024-9543MEDIUMPowerpress <= 11.9.18 - Authenticated (Contributor+) Stored Cross-Site Scripting via skipto ShortcodeEPSS 0.3%CVE-2024-3639MEDIUMElementor Addons by Livemesh <= 8.3.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Posts GridEPSS 0.3%CVE-2024-4385MEDIUMEnvo Extra <= 1.8.16 - Authenticated (Contributor+) Cross-Site ScriptingEPSS 0.3%CVE-2023-4839MEDIUMWP Go Maps <= 9.0.32 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2023-5771MEDIUMHTML injection in AdminUI through email subjectEPSS 0.3%CVE-2025-61074MEDIUMA stored Cross Site Scripting (XSS) vulnerability in the bulletin board (SchwarzeBrett) in adata Software GmbH Mitarbeiter Portal 2.15.2.0 aEPSS 0.3%CVE-2025-49316HIGHWordPress WP2LEADS plugin <= 3.5.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-6263MEDIUMWP Lightbox 2 <= 3.0.6.6 - Authenticated (Contributor+) DOM-Based Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-32573MEDIUMWordPress WP-Lister Lite for eBay plugin <=3.5.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%