Weaknesses of type CWE-79

30,259 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-10331MEDIUMcdevroe unmark Marks.php cross site scriptingEPSS 0.3%CVE-2025-64112HIGHStatmatic vulnerable to Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-6124HIGHReflected XSS in Hubshare via Open RedirectEPSS 0.3%CVE-2025-2131MEDIUMdayrui XunRuiCMS Friendly Links cross site scriptingEPSS 0.3%CVE-2024-20403MEDIUMA vulnerability in the web-based management interface of Cisco Firepower Management Center (FMC) Software could allow an authenticated, remoEPSS 0.3%CVE-2024-9452MEDIUMBranding <= 1.0 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2026-45072LOWSymfony: Stored XSS in WebProfiler CodeExtension::fileExcerpt() — Unescaped Non-PHP File RenderingEPSS 0.3%CVE-2026-118242HIGHHighcharts Grid: custom icon definition objects written with raw `setAttribute` on `<path>`EPSS 0.3%CVE-2026-2145MEDIUMcym1102 nginxWebUI Web Management check cross site scriptingEPSS 0.3%CVE-2025-32680MEDIUMWordPress Review Stream plugin <= 1.6.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-2975MEDIUMGFI KerioConnect Signature EditHtmlSource cross site scriptingEPSS 0.3%CVE-2025-9104MEDIUMPortabilis i-Diario Informações Adicionais /planos-de-aulas-por-disciplina cross site scriptingEPSS 0.3%CVE-2025-9168MEDIUMSolidInvoice Invoice Creation invoice cross site scriptingEPSS 0.3%CVE-2024-8776MEDIUMINTUMIT SmartRobot - Cross-site ScriptingEPSS 0.3%CVE-2026-6275MEDIUMStatCounter <= 2.1.1 - Authenticated (Author+) Stored Cross-Site Scripting via Author NicknameEPSS 0.3%CVE-2026-6592MEDIUMComfyUI userdata Endpoint user_manager.py getuserdata cross site scriptingEPSS 0.3%CVE-2025-9169MEDIUMSolidInvoice Quote quotes cross site scriptingEPSS 0.3%CVE-2024-35775MEDIUMWordPress Slider by Soliloquy plugin <= 2.7.6 - Broken Access Control to XSS vulnerabilityEPSS 0.3%CVE-2025-14039MEDIUMSimple Folio <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'Client name' and 'Link' Meta FieldsEPSS 0.3%CVE-2026-83539HIGHApache Wicket: XSS in SmartLinkLabel and SmartLinkMultiLineLabel via a javascript: URL in the model dataEPSS 0.3%