Weaknesses of type CWE-79

30,260 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-32680MEDIUMWordPress Review Stream plugin <= 1.6.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-35775MEDIUMWordPress Slider by Soliloquy plugin <= 2.7.6 - Broken Access Control to XSS vulnerabilityEPSS 0.3%CVE-2024-8776MEDIUMINTUMIT SmartRobot - Cross-site ScriptingEPSS 0.3%CVE-2024-10479MEDIUMLinZhaoguan pb-cms Theme Management Module admin#themes cross site scriptingEPSS 0.3%CVE-2024-33935MEDIUMWordPress PB MailCrypt plugin <= 3.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-13019MEDIUMcode-projects Chat System Chat Room Page update_room.php cross site scriptingEPSS 0.3%CVE-2025-9104MEDIUMPortabilis i-Diario Informações Adicionais /planos-de-aulas-por-disciplina cross site scriptingEPSS 0.3%CVE-2024-10477MEDIUMLinZhaoguan pb-cms Permission Management Page admin#permissions cross site scriptingEPSS 0.3%CVE-2026-6592MEDIUMComfyUI userdata Endpoint user_manager.py getuserdata cross site scriptingEPSS 0.3%CVE-2025-30904MEDIUMWordPress Chartify plugin <= 3.1.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-5938MEDIUMBoot Store <= 1.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button ShortcodeEPSS 0.3%CVE-2024-10478MEDIUMLinZhaoguan pb-cms Edit Article edit cross site scriptingEPSS 0.3%CVE-2022-50943MEDIUMMoodle LMS 4.0 Cross-Site Scripting via course search.phpEPSS 0.3%CVE-2025-2364MEDIUMlenve VBlog ArticleService.java addNewArticle cross site scriptingEPSS 0.3%CVE-2025-9105MEDIUMPortabilis i-Diario Informações Adicionais /planos-de-ensino-por-areas-de-conhecimento cross site scriptingEPSS 0.3%CVE-2024-51696HIGHWordPress Content Syndication Toolkit Reader plugin <= 1.5 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51703HIGHWordPress WP-Basics plugin <= 2.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-8511MEDIUMPortabilis i-Diario Observações diario-de-observacoes cross site scriptingEPSS 0.3%CVE-2024-49648HIGHWordPress SVG Captcha plugin <= 1.0.11 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51704HIGHWordPress imPress plugin <= 0.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%