Falhas do tipo CWE-79

30.296 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-47518MEDIUMWordPress Contact Form 7 – PayPal & Stripe Add-on plugin <= 2.3.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2024-47343MEDIUMWordPress Mega Elements – Addons for Elementor plugin <= 1.2.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-47516MEDIUMWordPress Time Clock plugin <= 1.2.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-11371MEDIUMBetterDocs < 4.5.5 - Unauthenticated Stored XSS via AI Doc Summarizer Prompt InjectionEPSS 0.3%CVE-2025-2330MEDIUMAll-in-One Addons for Elementor – WidgetKit <= 2.5.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via button+modal WidgetEPSS 0.3%CVE-2026-1647MEDIUMComment Genius <= 1.2.5 - Reflected Cross-Site Scripting via $_SERVER['PHP_SELF']EPSS 0.3%CVE-2026-109972MEDIUMs2Member <= 261011 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'date_format' Shortcode AttributeEPSS 0.3%CVE-2025-25017HIGHKibana Stored Cross-Site Scripting (XSS)EPSS 0.3%CVE-2025-44184MEDIUMSourceCodester Best Employee Management System V1.0 is vulnerable to Cross Site Scripting (XSS) in /admin/profile.php via the website_image,EPSS 0.3%CVE-2024-47342MEDIUMWordPress Accordion plugin <= 2.2.99 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-47615MEDIUMWordPress Amazon Product in a Post plugin <= 5.2.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-69229MEDIUMHTML injection vulnerability in Esri Portal for ArcGISEPSS 0.3%CVE-2025-30977MEDIUMWordPress Chaport <= 1.1.6 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2024-50432MEDIUMWordPress Post Grid and Gutenberg Blocks plugin <= 2.2.93 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-37919MEDIUMWordPress Timeline Module for Beaver Builder plugin <= 1.1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-61886MEDIUMAn Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability [CWE-79] vulnerability in Fortinet ForEPSS 0.3%CVE-2026-1037MEDIUMMultiple vulnerabilities affect IBM License Key Server Administration and Reporting Tool and IBM LKS Administration AgentEPSS 0.3%CVE-2025-12117MEDIUMRenden <= 1.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post TitleEPSS 0.3%CVE-2025-30634MEDIUMWordPress WP Featured Content Slider plugin <= 2.6 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-47521MEDIUMWordPress Robo Gallery plugin <= 5.0.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%