Falhas do tipo CWE-79

30.296 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-9655MEDIUMO2OA Personal Profile person cross site scriptingEPSS 0.3%CVE-2025-12746MEDIUMTainacan <= 1.0.0 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-49298MEDIUMWordPress PeproDev Ultimate Invoice plugin <= 2.0.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9719MEDIUMO2OA Personal Profile script cross site scriptingEPSS 0.3%CVE-2025-7869MEDIUMPortabilis i-Educar Turma Module educar_turma_tipo_det.php cross site scriptingEPSS 0.3%CVE-2025-24012MEDIUMUmbraco Backoffice Components Have XSS/HTML Injection VulnerabilityEPSS 0.3%CVE-2026-1901MEDIUMQuestionPro Surveys <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2026-15931MEDIUMSimple Membership < 4.7.8 - Unauthenticated Stored XSS via PayPal Subscription Subscriber NameEPSS 0.3%CVE-2024-47345MEDIUMWordPress Starter Templates plugin <= 4.4.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-50429MEDIUMWordPress Magazine Blocks plugin <= 1.3.15 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-23644MEDIUMWordPress QuoteMedia Tools plugin <= 1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-2281MEDIUMPrivate Comment <= 0.0.4 - Authenticated (Administrator+) Stored Cross-Site Scripting via Label Text SettingEPSS 0.3%CVE-2026-4849MEDIUMcode-projects Simple Laundry System Parameter modify.php cross site scriptingEPSS 0.3%CVE-2025-66469MEDIUMNiceGUI Reflected XSS in ui.add_css, ui.add_scss, and ui.add_sass via Style InjectionEPSS 0.3%CVE-2024-38725MEDIUMWordPress Admin Dashboard RSS Feed plugin <= 3.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-38713MEDIUMWordPress WP Photo Album Plus plugin <= 8.8.02.002 - Authenticated Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-51773MEDIUMAuthenticated Stored Cross-Site Scripting (XSS) in HPE Aruba Networking ClearPass Policy Manager Web-based Management InterfaceEPSS 0.3%CVE-2024-38752MEDIUMWordPress Zoho Campaigns plugin <= 2.0.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-54297HIGHExtension - compojoom.com - Stored XSS vulnerability in CComment component 5.0.0-6.1.14 for JoomlaEPSS 0.3%CVE-2024-47371MEDIUMWordPress WP MyLinks plugin<= 1.0.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%