Weaknesses of type CWE-79

30,271 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2025-49262HIGHWordPress Sina Extension for Elementor plugin <= 3.6.1 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-47083MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2025-24892LOWOpenProject stored HTML injection vulnerabilityEPSS 0.3%CVE-2026-100673HIGHGrav Data Manager before 1.4.5 Stored XSS via item-detail viewEPSS 0.3%CVE-2024-11781MEDIUMSmart Agenda – Prise de rendez-vous en ligne <= 4.6 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-13395MEDIUMThreepress <= 1.7.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-39649MEDIUMWordPress Essential Addons for Elementor plugin <= 5.9.26 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-82123MEDIUMWordPress Loops & Logic - Reflected XSSEPSS 0.3%CVE-2024-13399MEDIUMGosign – Posts Slider Block <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-13757MEDIUMMaster Slider – Responsive Touch Slider <= 3.10.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via ms_layer ShortcodeEPSS 0.3%CVE-2025-14056MEDIUMCustom Post Type UI <= 1.18.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'label' Import ParameterEPSS 0.3%CVE-2025-47117MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.3%CVE-2025-3457MEDIUMOcean Extra <= 2.4.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2025-62796MEDIUMPrivateBin persistent HTML injection in attachment filename enables redirect and defacementEPSS 0.3%CVE-2024-41347MEDIUMopenflights commit 5234b5b is vulnerable to Cross-Site Scripting (XSS) via php/settings.phpEPSS 0.3%CVE-2025-14076MEDIUMiXML – Google XML sitemap generator <= 0.6 - Reflected Cross-Site Scripting via 'iXML_email' ParameterEPSS 0.3%CVE-2024-44794MEDIUMA cross-site scripting (XSS) vulnerability in the component /master/auth/OnedriveRedirect.php of PicUploader commit fcf82ea allows attackersEPSS 0.3%CVE-2025-47091MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2026-13140LOWStored Cross-Site Scripting in Canarytokens.orgEPSS 0.3%CVE-2025-11069MEDIUMwestboy CicadasCMS Add Department save cross site scriptingEPSS 0.3%