Weaknesses of type CWE-79

30,188 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-4257MEDIUMSeaCMS admin_pay.php cross site scriptingEPSS 0.3%CVE-2024-6864MEDIUMWP Last Modified Info <= 1.9.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via lmt-post-modified-info ShortcodeEPSS 0.3%CVE-2024-7778MEDIUMOrbit Fox by ThemeIsle <= 2.10.36 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-7606MEDIUMFront End Users <= 3.2.28 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2024-4378MEDIUMPremium Addons for Elementor <= 4.10.31 - Authenticated (Contributor+) Stored Cross-Site Scripting via Menu and Shape DividerEPSS 0.3%CVE-2025-53626MEDIUMpdfme has Sandbox Escape and Prototype Pollution vulnerabilities in pdfme expression evaluationEPSS 0.3%CVE-2024-6894MEDIUMRD Station <= 5.3.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-4669MEDIUMEvents Addon for Elementor <= 2.1.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.3%CVE-2025-8604MEDIUMWP Table Builder – WordPress Table Plugin <= 2.0.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2025-8542MEDIUMPortabilis i-Educar empresas_cad.php cross site scriptingEPSS 0.3%CVE-2024-51903MEDIUMWordPress WP Listings Pro plugin <= 3.0.14 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51887MEDIUMWordPress NV Slider plugin <= 1.6 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-11851MEDIUMApeman ID71 set_alias.cgi cross site scriptingEPSS 0.3%CVE-2023-52195MEDIUMWordPress Posts to Page Plugin <= 1.7 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-51916MEDIUMWordPress Multifox Plus plugin <= 1.1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51871MEDIUMWordPress Luzuk Team plugin <= 0.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-63401MEDIUMCross Site Scripting vulnerability in HCL Technologies Limited HCLTech DRAGON before v.7.6.0 allows a remote attacker to execute arbitrary cEPSS 0.3%CVE-2025-46895MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2025-22313HIGHWordPress Widgetize Pages Light plugin <= 3.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-5945MEDIUMWP SVG Images <= 4.3 - Authenticated (Author+) Stored Cross-Site Scripting via SVGEPSS 0.3%