Weaknesses of type CWE-79

30,266 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-54013HIGHOpen WebUI: Stored XSS to Account Takeover via Model Profile Images in Open WebUIEPSS 0.3%CVE-2026-12041MEDIUMChatra Live Chat + ChatBot + Cart Saver <= 1.0.12 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'chatra-code' SettingEPSS 0.3%CVE-2024-43933HIGHWordPress WPMobile.App plugin <= 11.48 - CSRF to Stored XSS vulnerabilityEPSS 0.3%CVE-2026-0521MEDIUMReflected Cross-Site Scripting in PDF Export Error MessageEPSS 0.3%CVE-2025-23542HIGHWordPress RDP Linkedin Login plugin <= 1.7.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-28795MEDIUMIBM InfoSphere Information Server cross-site scriptingEPSS 0.3%CVE-2025-53201HIGHWordPress Jobmonster theme <= 4.7.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2020-36998MEDIUMforma.lms The E-Learning Suite 2.3.0.2 - Persistent Cross-Site ScriptingEPSS 0.3%CVE-2025-62041HIGHWordPress TheGem (Elementor) theme <= 5.10.5.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-12122MEDIUMResAds <= 2.0.6 - Reflected Cross-Site Scripting via Multiple ParametersEPSS 0.3%CVE-2025-13977MEDIUMEssential Addons for Elementor – Popular Elementor Templates & Widgets <= 6.5.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-12408MEDIUMWP on AWS <= 5.2.1 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-12337MEDIUMShipping via Planzer for WooCommerce <= 1.0.25 - Reflected Cross-Site Scripting via processed-idsEPSS 0.3%CVE-2025-23437HIGHWordPress ntp-header-images plugin <=1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-26981HIGHWordPress Web Accessibility By accessiBe plugin <= 2.5 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-11809MEDIUMPrimer MyData for Woocommerce <= 4.2.1 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2025-32114HIGHWordPress 5sterrenspecialist plugin <= 1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-58032MEDIUMmw.Api.getErrorMessage() may return injected HTML if used without errorformat=htmlEPSS 0.3%CVE-2025-30607HIGHWordPress Quick Localization plugin <= 0.1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-12411MEDIUMWP Ad Guru – Banner ad, Responsive popup, Popup maker, Ad rotator & More <= 2.5.4 - Reflected Cross-Site ScriptingEPSS 0.3%