Weaknesses of type CWE-79

30,097 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2021-25987MEDIUMHexo - Stored XSSEPSS 0.3%CVE-2024-29820MEDIUMWordPress PDF Builder for WPForms plugin <= 1.2.88 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-6385MEDIUMWP Applink <= 0.4.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via title ParameterEPSS 0.3%CVE-2026-7457MEDIUMLatePoint <= 5.5.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Customer Cabinet Profile UpdateEPSS 0.3%CVE-2024-29803MEDIUMWordPress FlatPM plugin < 3.1.05 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-1096MEDIUMBest-wp-google-map <= 2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'latitude' Shortcode AttributeEPSS 0.3%CVE-2024-29814MEDIUMWordPress Exchange Rates Widget plugin <= 1.4.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-12439MEDIUMMarketplace Items <= 1.5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'marketplace' ShortcodeEPSS 0.3%CVE-2026-3953HIGHReflected XSS in Gosoft Software's Proticaret E-CommerceEPSS 0.3%CVE-2024-31344MEDIUMWordPress Easy Login Styler plugin <= 1.0.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-46824LOWDiscourse Code Review Plugin vulnerable to XSS via auto link commitsEPSS 0.3%CVE-2024-12278HIGHBooster for WooCommerce <= 7.2.4 - Unauthenticated Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-30549MEDIUMWordPress Contact Forms by Cimatti plugin <= 1.8.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-10099MEDIUMPortabilis i-Educar Editar usuário educar_usuario_cad.php cross site scriptingEPSS 0.3%CVE-2021-47856MEDIUMEasy Cart Shopping Cart 2021 Cross-Site Scripting via Search ParameterEPSS 0.3%CVE-2024-13466MEDIUMAutomatically Hierarchic Categories in Menu <= 2.0.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-8276MEDIUMHTML Injection in Patika Global Technologies' HumanSuiteEPSS 0.3%CVE-2024-29933MEDIUMWordPress Web Icons plugin <= 1.0.0.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-32834MEDIUMWordPress WooCommerce Shipping Label plugin <= 2.3.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-11823MEDIUMFolder Gallery <= 1.7.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%