Weaknesses of type CWE-79

30,149 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-54047MEDIUMAdobe Connect | Cross-site Scripting (Reflected XSS) (CWE-79)EPSS 0.3%CVE-2023-37529LOWA cross-site scripting (XSS) vulnerability affects HCL BigFix PlatformEPSS 0.3%CVE-2024-10503MEDIUMKlokan MapTiler tileserver-gl URL cross site scriptingEPSS 0.3%CVE-2025-71241MEDIUMSPIP < 4.3.6 Cross-Site Scripting in Private AreaEPSS 0.3%CVE-2024-4365MEDIUMAdvanced iFrame <= 2024.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-32534MEDIUMWordPress Form Maker plugin <= 1.15.23 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-7190MEDIUMReflected Cross-Site Scripting in ICT Innovations’ PHP-CGI/PHP-FPM configurationEPSS 0.3%CVE-2023-37530LOWA cross-site scripting (XSS) vulnerability affects HCL BigFix PlatformEPSS 0.3%CVE-2026-45665HIGHOpen WebUI: Stored XSS in Banner Component via Improper Sanitization OrderEPSS 0.3%CVE-2024-47793MEDIUMStored cross-site scripting vulnerability exists in Exment v6.1.4 and earlier and Exment v5.0.11 and earlier. When accessing the edit screenEPSS 0.3%CVE-2025-10590MEDIUMPortabilis i-Educar educar_usuario_det.php cross site scriptingEPSS 0.3%CVE-2025-8538MEDIUMPortabilis i-Educar novo cross site scriptingEPSS 0.3%CVE-2024-54045MEDIUMAdobe Connect | Cross-site Scripting (Reflected XSS) (CWE-79)EPSS 0.3%CVE-2025-7870MEDIUMPortabilis i-Diario justificativas-de-falta Endpoint doc_uploader.rb cross site scriptingEPSS 0.3%CVE-2023-6958MEDIUMWP Recipe Maker <= 9.1.0 - Authenticated(Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2024-20538MEDIUMCisco Identity Services Engine Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2024-32429MEDIUMWordPress Remove Footer Credit plugin <= 1.0.13 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-51858MEDIUMSelf Cross-Site Scripting (XSS) vulnerability in ChatPlayground.ai through 2025-05-24, allows attackers to execute arbitrary code and gain sEPSS 0.3%CVE-2024-54044MEDIUMAdobe Connect | Cross-site Scripting (Reflected XSS) (CWE-79)EPSS 0.3%CVE-2025-34182MEDIUMDeciso OPNsense < 25.7.4 /interfaces_ppps_edit.php ptpid Stored XSSEPSS 0.3%