Weaknesses of type CWE-79

30,186 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-11491MEDIUM115cms useradmin.html cross site scriptingEPSS 0.3%CVE-2026-3423MEDIUMEnvira Gallery <= 1.12.4 - Authenticated (Author+) Stored Cross-Site Scripting via Gallery DescriptionEPSS 0.3%CVE-2026-15464MEDIUMWP Hotel Booking <= 2.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'widget_search' Shortcode AttributeEPSS 0.3%CVE-2026-16758MEDIUMSnippet Shortcodes <= 5.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2024-33949MEDIUMWordPress Min and Max Purchase for WooCommerce plugin <= 2.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-94426MEDIUMxuxueli xxl-job insert cross site scriptingEPSS 0.3%CVE-2025-30149MEDIUMOpenEMR Reflected XSS in AJAX ScriptEPSS 0.3%CVE-2026-15796MEDIUMBuilderall for WordPress <= 3.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'bg_video_service_url' SettingEPSS 0.3%CVE-2023-50905HIGHWordPress WP Activity Log Plugin <= 4.6.1 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2026-77820MEDIUMWPComplete <= 2.9.9.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'empty' Shortcode AttributeEPSS 0.3%CVE-2026-76837MEDIUMBaserow before 2.3.0 Stored Cross-Site Scripting via Rich Text Mention Display NameEPSS 0.3%CVE-2024-30848MEDIUMCross-site scripting (XSS) vulnerability in SilverSky E-mail service version 5.0.3126 allows remote attackers to inject arbitrary web scriptEPSS 0.3%CVE-2026-17162MEDIUMWowStore <= 4.4.24 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'currentPostId' Block AttributeEPSS 0.3%CVE-2025-46657HIGHKaraz Karazal through 2025-04-14 allows reflected XSS via the lang parameter to the default URI.EPSS 0.3%CVE-2024-22159HIGHWordPress WOLF Plugin <= 1.0.8 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2025-2544MEDIUMAI Content Pipelines <= 1.6 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2023-53916MEDIUMZenphoto 1.6 Stored Cross-Site Scripting via User Postal Code FieldEPSS 0.3%CVE-2025-22143MEDIUMWeGIA Cross-Site Scripting (XSS) Reflected endpoint 'listar_permissoes.php' parameter 'msg_e'EPSS 0.3%CVE-2026-1856MEDIUMAppointment Booking Calendar <= 1.4.4 - Authenticated (Author+) Stored Cross-Site Scripting via Custom Booking Field LabelEPSS 0.3%CVE-2025-3868MEDIUMCustom Admin-Bar Favorites <= 0.1 - Reflected Cross-Site ScriptingEPSS 0.3%