Weaknesses of type CWE-79

30,284 results

Injeção de conteúdo não sanitizado (XSS)

Ocorre quando dados não confiáveis (entrada de usuário, parâmetros, APIs externas) são inseridos diretamente no HTML, JavaScript ou contexto de renderização sem validação ou escape. Um atacante injeta código malicioso que executa no navegador da vítima, roubando cookies, sessões ou realizando ações em seu nome.

Example

Uma página de busca que exibe o termo procurado sem escape: se o usuário buscar por '<script>alert("hackeado")</script>', esse código é executado no navegador de quem visualizar o resultado. Um atacante pode injetar um script que rouba o token de autenticação.

How to mitigate

Escape ou encode toda entrada antes de renderizá-la (use funções nativas como textContent em JS, template engines com auto-escape como Jinja2 ou escapeHtml). Implemente Content Security Policy (CSP) para restringir execução de scripts inline. Valide e sanitize entrada no servidor, nunca confie apenas em validação client-side.

CVE-2026-15782MEDIUMWPForms <= 2.0.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via OptinMonster Integration data-sitekey Attribute in Post ContentEPSS 0.3%CVE-2024-13398MEDIUMCheckout for PayPal <= 1.0.32 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-5881MEDIUMWebico Slider Flatsome Addons <= 2.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via wbc_image ShortcodeEPSS 0.3%CVE-2025-59525HIGHHorilla has Improper Input Sanitization Leading to XSS and Admin Account TakeoverEPSS 0.3%CVE-2025-10584MEDIUMPortabilis i-Educar educar_calendario_anotacao_cad.php cross site scriptingEPSS 0.3%CVE-2024-12334MEDIUMWC Affiliate – A Complete WooCommerce Affiliate Plugin <= 2.4 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-7147MEDIUMJetBlocks <= 1.3.12 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11453MEDIUMWordPress Pinterest Plugin – Make a Popup, User Profile, Masonry and Gallery Layout <= 1.8.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-105089CRITICALWWBN AVideo through 29.2.0 Stored XSS via trailer1 in YouPHPFlix2 TemplatesEPSS 0.3%CVE-2025-9306MEDIUMSourceCodester Advanced School Management System addNotice cross site scriptingEPSS 0.3%CVE-2024-7136MEDIUMJetSearch <= 3.5.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-8314MEDIUMSoftware Issue Manager <= 5.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via noaccess_msg ParameterEPSS 0.3%CVE-2024-8660MEDIUMStored XSS in the "Top Navigator Bar" blockEPSS 0.3%CVE-2026-2714MEDIUMInstitute Management <= 5.5 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Enquiry Form Title' SettingEPSS 0.3%CVE-2025-14937HIGHFrontend Admin by DynamiApps <= 3.28.23 - Unauthenticated Stored Cross-Site Scripting via 'update_field'EPSS 0.3%CVE-2025-53486MEDIUMWikiCategoryTagCloud: Reflected Cross-Site Scripting (XSS) via linkstyle attribute in parser functionEPSS 0.3%CVE-2025-7815MEDIUMPHPGurukul Apartment Visitors Management System HTTP POST Request manage-newvisitors.php cross site scriptingEPSS 0.3%CVE-2025-8581MEDIUMInappropriate implementation in Extensions in Google Chrome prior to 139.0.7258.66 allowed a remote attacker who convinced a user to engage EPSS 0.3%CVE-2024-12328MEDIUMMAS Elementor <= 1.1.7 - Authenticated (Author+) Stored Cross-Site Scripting via SVGEPSS 0.3%CVE-2024-50406LOWLicense CenterEPSS 0.3%