Falhas do tipo CWE-79

30.295 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-54078MEDIUMWeGIA Reflected Cross-Site Scripting (XSS) vulnerability in endpoint 'personalizacao_imagem.php' parameter 'err'EPSS 0.3%CVE-2025-22778HIGHWordPress Lijit Search Plugin <= 1.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9735MEDIUMO2OA Personal Profile table cross site scriptingEPSS 0.3%CVE-2025-13182MEDIUMpojoin h3blog addtitle cross site scriptingEPSS 0.3%CVE-2026-22465HIGHWordPress BuddyApp theme <= 1.9.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-23809HIGHWordPress Blue Wrench Video Widget Plugin <= 2.1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-1941MEDIUMWP Event Aggregator <= 1.8.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2025-53233HIGHWordPress Storyform plugin <= 0.6.14 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-22793HIGHWordPress Bold pagos en linea Plugin <= 3.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-32728HIGHParse Server has a stored XSS filter bypass via Content-Type MIME parameter and missing XML extension blocklist entriesEPSS 0.3%CVE-2026-28330MEDIUMSolarWinds Observability Self-Hosted Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2026-104646MEDIUMImage Photo Gallery Final Tiles Grid < 3.6.14 - Contributor+ Stored XSS via Gallery Shortcode AttributesEPSS 0.3%CVE-2026-0873MEDIUMPrivilege Elevation in Ercom Cryptobox administration consoleEPSS 0.3%CVE-2026-12980MEDIUMPost Snippets <= 4.2.4 - Contributor+ Stored XSS via Snippet VariableEPSS 0.3%CVE-2026-88784HIGHWeglot < 6.4.3 - Unauthenticated Stored XSS via Translated Page Link RewritingEPSS 0.3%CVE-2025-3423MEDIUMIBM Aspera Faspex 5 cross-site scriptingEPSS 0.3%CVE-2018-25157MEDIUMPhraseanet 4.0.3 Stored XSS via Document UploadEPSS 0.3%CVE-2025-53237HIGHWordPress WP Wizard Cloak Plugin <= 1.0.1 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-47941MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2026-22440HIGHWordPress Thecs theme <= 1.4.7 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%