Falhas do tipo CWE-79

30.295 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-81153MEDIUMRobo Gallery < 5.2.6 - Author+ Stored XSS via Image Overlay Effect MetaEPSS 0.3%CVE-2026-22438HIGHWordPress TheBi theme <= 1.0.5 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-48062HIGHDiscourse vulnerable to HTML injection when inviting to topic via emailEPSS 0.3%CVE-2025-30316MEDIUMAdobe Connect | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2026-14307HIGHGeotargeting WP < 3.5.6.2 - Reflected XSSEPSS 0.3%CVE-2025-15380HIGHNotificationX <= 3.2.0 - Unauthenticated DOM-Based Cross-Site Scripting via 'nx-preview'EPSS 0.3%CVE-2025-54076MEDIUMWeGIA Reflected Cross-Site Scripting (XSS) vulnerability in endpoint 'pre_cadastro_atendido.php' parameter 'msg_e'EPSS 0.3%CVE-2026-91014HIGHRealtyna Organic IDX plugin + WPL Real Estate < 5.4.2 - Reflected XSS via Location Selector EndpointEPSS 0.3%CVE-2026-81155MEDIUMRobo Gallery < 5.2.6 - Author+ Stored XSS via Gallery Search LabelEPSS 0.3%CVE-2025-22766HIGHWordPress Zarinpal Paid Download Plugin <= 2.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-5236MEDIUMNinjaTeam Chat for Telegram <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via username ParameterEPSS 0.3%CVE-2025-22765HIGHWordPress WP Order By Plugin <= 1.4.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-32198MEDIUMWordPress Brizy plugin <= 2.7.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9430MEDIUMmtons mblog update cross site scriptingEPSS 0.3%CVE-2026-41122HIGHDell PowerProtect Data Domain, versions 7.7.1.0 through 8.7, LTS2026 release version 8.6.1.0 through 8.6.1.10, LTS2025 release version 8.3.1EPSS 0.3%CVE-2024-51938MEDIUMWordPress Charity Addon for Elementor plugin <= 1.3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-81404HIGHIPGP Visitors Origin < 1.6 - Reflected XSSEPSS 0.3%CVE-2026-47939MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2026-12865HIGHPhoto Gallery by 10Web < 1.8.44 - Reflected XSS via title and paged ParametersEPSS 0.3%CVE-2026-107323MEDIUMGallery PhotoBlocks 1.3.5 - Contributor+ Stored XSSEPSS 0.3%