Fallos del tipo CWE-116

428 resultados

Codificação ou escaping inadequado de saída

Ocorre quando a aplicação não codifica ou escapa corretamente dados que serão exibidos ou processados em contextos que interpretam caracteres especiais (HTML, JavaScript, SQL, URLs, etc.). Sem essa proteção, caracteres maliciosos passam intactos e podem ser interpretados como código, causando injeção ou execução não autorizada.

Ejemplo

Uma página web que exibe um comentário de usuário sem escapar tags HTML: se o atacante injeta '<script>alert(1)</script>', o navegador executa o script em vez de exibir o texto como literal. Ou um parâmetro de URL mal codificado que permite injeção SQL quando concatenado diretamente em queries.

Cómo mitigar

Sempre codifique ou escape dados de entrada antes de usá-los em contextos sensíveis: use funções nativas de encoding (ex: htmlspecialchars() em PHP, DOMPurify em JavaScript, parametrized queries em SQL). Escolha o tipo certo de encoding para cada contexto (HTML, URL, JavaScript, CSS) — não use o mesmo para todos.

CVE-2026-23880HIGHOnboardLite has stored Cross-site Scripting issue that may lead to admin Account Take OverEPSS 0.3%CVE-2024-34715LOWPartial Password Exposure Vulnerability in Fides Webserver LogsEPSS 0.3%CVE-2026-25543MEDIUMHtmlSanitizer has a bypass via template tagEPSS 0.3%CVE-2026-48598LOWCRLF injection in Tesla.Multipart disposition parameters allows multipart part header injectionEPSS 0.3%CVE-2026-118257HIGHVue I18n: escapeParameter does not prevent XSS through srcdoc in translation messagesEPSS 0.3%CVE-2026-44311MEDIUMFabric.js: Improper escaping in fabric.Gradient colorStops leads to XSS in SVG serializationEPSS 0.3%CVE-2018-9433CRITICALIn ArrayConcatVisitor of builtins-array.cc, there is a possible type confusion due to improper input validation. This could lead to remote cEPSS 0.3%CVE-2025-12734LOWImproper Encoding or Escaping of Output in GitLabEPSS 0.3%CVE-2026-12048CRITICALpgAdmin 4: Stored XSS via untrusted error and plan-node text rendered through html-react-parserEPSS 0.3%CVE-2026-45011HIGHApostrophe has stored XSS via javascript: URL in Image Widget LinkEPSS 0.3%CVE-2026-82249LOWgitoxide before 0.38.2 Credential Helper Protocol Field InjectionEPSS 0.3%CVE-2026-87550MEDIUMImproper encoding or escaping of output in CSS in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially bypass web oEPSS 0.3%CVE-2026-106107HIGHQuasar Framework: App Vite SSR and SSG nonce attributes are not safely constrainedEPSS 0.3%CVE-2026-13407MEDIUMRoyal Elementor Addons < 1.7.1067 - Unauthenticated Stored HTML Injection in Form Notification EmailsEPSS 0.3%CVE-2026-113725HIGHvirtualenv bash activate runs commands from an environment name with a backslash before $EPSS 0.3%CVE-2026-27016MEDIUMLibreNMS has Stored XSS in Custom OID - unit parameter missing strip_tags()EPSS 0.3%CVE-2026-55442MEDIUMGoobi viewer: cleanUpQuery double-brace bypass allows arbitrary Solr local-param injectionEPSS 0.3%CVE-2025-46340HIGHMisskey CSS Style Injection Vulnerability In `MkUrlPreview`EPSS 0.3%CVE-2026-27469MEDIUMIsso: Stored XSS via comment website fieldEPSS 0.3%CVE-2026-58504MEDIUMdraw.io: Stored XSS on file open via editable=0 sibling cell — patch bypass of CVE-2026-46642EPSS 0.3%