Falhas do tipo CWE-79

30.295 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-11374MEDIUMTWChat – Send or receive messages from users <= 4.0.4 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2026-97328HIGHWebP Express < 0.25.16 - Unauthenticated Stored XSS via Alter HTML ParserEPSS 0.3%CVE-2026-86444HIGHLearnPress < 4.4.7 - Reflected XSS via 'skin' ParameterEPSS 0.3%CVE-2025-53820MEDIUMWeGIA vulnerable to Cross-Site Scripting (XSS) Reflected via endpoint 'index.php' parameter 'erro'EPSS 0.3%CVE-2025-15697HIGHDictionary <= 1.0 - Reflected XSS via Multiple ParametersEPSS 0.3%CVE-2024-36366MEDIUMIn JetBrains TeamCity before 2022.04.7, 2022.10.6, 2023.05.6, 2023.11.5 an XSS could be executed via certain report grouping and filtering oEPSS 0.3%CVE-2026-30567MEDIUMA Reflected Cross-Site Scripting (XSS) vulnerability exists in SourceCodester Sales and Inventory System 1.0 in the view_product.php file viEPSS 0.3%CVE-2024-57175MEDIUMA Stored Cross-Site Scripting (XSS) vulnerability was identified in the PHPGURUKUL Online Birth Certificate System v1.0 via the profile nameEPSS 0.3%CVE-2025-52559MEDIUMZulip XSS in digest preview URLEPSS 0.3%CVE-2024-13860MEDIUMBuddyBoss Platform <= 2.8.50 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'bbp_topic_title'EPSS 0.3%CVE-2026-106933MEDIUMBlaze Demo Importer < 1.0.17 - Author+ Stored XSS via SVG UploadEPSS 0.3%CVE-2026-33933MEDIUMReflected XSS via Unescaped contextName Parameter in Custom Template EditorEPSS 0.3%CVE-2025-15266HIGHGeekyBot — Generate AI Content Without Prompt, Chatbot and Lead Generation <= 1.1.8 - Unauthenticated Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-59269HIGHBIG-IP Configuration utility XSS vulnerabilityEPSS 0.3%CVE-2021-47924MEDIUMWordPress Plugin Ultimate Product Catalogue 5.8.2 Stored XSS via priceEPSS 0.3%CVE-2026-43938HIGHYAF.NET: Unauthenticated Stored Second-Order XSS in Admin Event Log via Reflected `User-Agent` HeaderEPSS 0.3%CVE-2026-47943MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2025-9735MEDIUMO2OA Personal Profile table cross site scriptingEPSS 0.3%CVE-2026-47344LOWTYPO3 HTML Sanitizer allows Cross-Site ScriptingEPSS 0.3%CVE-2025-54078MEDIUMWeGIA Reflected Cross-Site Scripting (XSS) vulnerability in endpoint 'personalizacao_imagem.php' parameter 'err'EPSS 0.3%