Weaknesses of type CWE-79

30,203 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2024-0256MEDIUMStarbox <= 3.4.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Profile Display Name and Social SettingsEPSS 0.3%CVE-2025-3781MEDIUMRaisely Donation Form <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via raisely_donation_form ShortcodeEPSS 0.3%CVE-2026-119176MEDIUMCP Multi View Events Calendar <= 1.4.43 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'Subject' ParameterEPSS 0.3%CVE-2024-2084MEDIUMHT Mega – Absolute Addons For Elementor <= 2.4.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Lightbox WidgetEPSS 0.3%CVE-2024-47347HIGHWordPress Chartify plugin <= 2.7.6 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-2791MEDIUMMetform Elementor Contact Form Builder <= 3.8.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via WidgetsEPSS 0.3%CVE-2024-2839MEDIUMColibri Page Builder <= 1.0.263 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-32571MEDIUMWordPress WP Stripe Checkout plugin <= 1.2.2.41 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-13452MEDIUMContact Form by Supsystic <= 1.7.29 - Cross-Site Request Forgery to Stored Cross-Site Scripting via saveAsCopy AJAX ActionEPSS 0.3%CVE-2026-66300LOWSNOMED International Snowstorm reflected XSSEPSS 0.3%CVE-2024-47388HIGHWordPress SliceWP Affiliates plugin <= 1.1.18 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-47306HIGHWordPress Secure Copy Content Protection and Content Locking plugin <= 4.2.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-83946HIGHAzure Portal Spoofing VulnerabilityEPSS 0.3%CVE-2024-3598MEDIUMElementsKit Pro <= 3.6.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'ekit_btn_id'EPSS 0.3%CVE-2025-2204MEDIUMXSS in Tapandsign Technologies' Tap&Sign AppEPSS 0.3%CVE-2024-1327MEDIUMJeg Elementor Kit <= 2.6.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image BoxEPSS 0.3%CVE-2024-2790MEDIUMHT Mega – Absolute Addons For Elementor <= 2.4.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Accordion/FAQEPSS 0.3%CVE-2026-73426MEDIUMTrix: Stored XSS vulnerability through serialized attributesEPSS 0.3%CVE-2024-2842MEDIUMEasy Appointments <= 3.11.18 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-2031MEDIUMVideo Conferencing with Zoom <= 4.4.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%