Falhas do tipo CWE-79

30.296 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-4510MEDIUMPbootCMS Parameter MemberController.php alert_location cross site scriptingEPSS 0.3%CVE-2024-49295MEDIUMWordPress Simple Testimonials Showcase plugin <= 1.1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-57900MEDIUMWordPress GutenKit Plugin <= 2.4.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-15057HIGHSlimStat Analytics <= 5.3.3 - Unauthenticated Stored Cross-Site Scripting via 'fh' ParameterEPSS 0.3%CVE-2026-34658MEDIUMAdobe Commerce | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2024-37561MEDIUMWordPress Plugin Notes Plus plugin <= 1.2.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-26906MEDIUMWordPress WP Delete User Accounts plugin <= 1.2.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-24550MEDIUMWordPress Job Manager plugin <= 2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2014-125128MEDIUM'sanitize-html' prior to version 1.0.3 is vulnerable to Cross-site Scripting (XSS). The function 'naughtyHref' doesn't properly validate theEPSS 0.3%CVE-2026-34567CRITICALCI4MS: Blogs Posts (Categories) Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM XSSEPSS 0.3%CVE-2024-37551MEDIUMWordPress Simple Social Share plugin <= 3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-37538MEDIUMWordPress Link To Bible plugin <= 2.5.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-9582MEDIUMAccordion Slider <= 1.9.11 - Authenticted (Contributor+) Stored Cross-Site Scripting via HTML AttributeEPSS 0.3%CVE-2025-68856HIGHWordPress Mopinion Feedback Form plugin <= 1.1.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-45880MEDIUMA cross-site scripting (XSS) vulnerability in the data resource management function of Miliaris Amigdala v2.2.6 allows attackers to execute EPSS 0.3%CVE-2025-53570MEDIUMWordPress DELUCKS SEO Plugin <= 2.7.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-1783MEDIUMGallery Styles <= 1.3.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-37433HIGHWordPress Mailster plugin <= 4.0.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-13649MEDIUM140+ Widgets | Xpro Addons For Elementor – FREE <= 1.4.6.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-3155MEDIUMPost Grid, Form Maker, Popup Maker, WooCommerce Blocks, Post Blocks, Post Carousel – Combo Blocks <= 2.2.80 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%