Weaknesses of type CWE-79

30,184 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-15968HIGHStored XSS vulnerability in MOVEit TransferEPSS 0.3%CVE-2024-55488MEDIUMA stored cross-site scripting (XSS) vulnerability in Umbraco CMS v14.3.1 allows attackers to execute arbitrary web scripts or HTML via a craEPSS 0.3%CVE-2025-43229MEDIUMThis issue was addressed through improved state management. This issue is fixed in Safari 18.6, macOS Sequoia 15.6. Processing maliciously cEPSS 0.3%CVE-2024-5796MEDIUMInfinite <= 1.1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via project_url ParameterEPSS 0.3%CVE-2025-64049MEDIUMA stored cross-site scripting (XSS) vulnerability in the module management component in REDAXO CMS 5.20.0 allows remote users to inject arbiEPSS 0.3%CVE-2025-23037MEDIUMCross-Site Scripting (XSS) Stored endpoint 'control.php' parameter 'cargo' in WeGIAEPSS 0.3%CVE-2024-7204MEDIUMAi3 QbiBot - Stored XSSEPSS 0.3%CVE-2025-3157MEDIUMIntelbras WRN 150 Wireless Menu cross site scriptingEPSS 0.3%CVE-2025-7501MEDIUMWonder Slider Lite & Wonder Slider <= 14.4 - Authenticated (Contributor+) Dom-based Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-100175MEDIUMPostie <= 1.9.87 - Unauthenticated Stored Cross-Site Scripting via Email Body URL AutolinkEPSS 0.3%CVE-2026-41201CRITICALCI4MS: Backup Management Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM Blind XSS Version 2EPSS 0.3%CVE-2026-15653MEDIUMVisualizer <= 4.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'backend-title' ParameterEPSS 0.3%CVE-2026-76931MEDIUMZephyr Project Manager <= 3.3.205 - Authenticated (Custom+) Stored Cross-Site Scripting via 'message' ParameterEPSS 0.3%CVE-2026-7796MEDIUMEmbedPress <= 4.5.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Block 'url' AttributeEPSS 0.3%CVE-2025-55287HIGHGenealogy has a stored XSS vulnerabilityEPSS 0.3%CVE-2026-15394MEDIUMHeader Footer Script Adder <= 2.1 - Authenticated (Author+) Stored Cross-Site Scripting via 'asm_code' Snippet MetaEPSS 0.3%CVE-2026-1382MEDIUMfresh Podcaster <= 1.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'freshpodcaster' Shortcode AttributesEPSS 0.3%CVE-2024-29143MEDIUMWordPress Passwordless Login plugin <= 1.1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-13247MEDIUMLogo Slider <= 5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'lgx_tooltip_position' ParameterEPSS 0.3%CVE-2026-16775MEDIUMSmash Balloon Social Post Feed <= 4.9.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeEPSS 0.3%