Falhas do tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-53838HIGHLinkAce has a Stored One Click XSS vulnerabilityEPSS 0.3%CVE-2024-3671MEDIUMPrint-O-Matic <= 2.1.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2025-26751HIGHWordPress Alphabetic Pagination Plugin <= 3.2.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-2102MEDIUMXSS in wrensec-commons CREST framework HTTP binding via _mimeType parameterEPSS 0.3%CVE-2026-10301MEDIUMitsourcecode Fees Management System index.php cross site scriptingEPSS 0.3%CVE-2024-9119MEDIUMSVG Complete <= 1.0.2 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2026-21871MEDIUMNiceGUI is vulnerable to XSS via Unescaped URL in ui.navigate.history.push() / replace()EPSS 0.3%CVE-2024-2295MEDIUMContact Form Manager <= 1.6.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-15437MEDIUMLigeroSmart Environment Variable cross site scriptingEPSS 0.3%CVE-2024-9274MEDIUMElastik Page Builder <= 0.27.4 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-39643MEDIUMWordPress RegistrationMagic plugin <= 6.0.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-5845MEDIUMAffiliate Reviews <= 1.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via numColumns ParameterEPSS 0.3%CVE-2025-15175MEDIUMSohuTV CacheCloud AppController.java appCommandAnalysis cross site scriptingEPSS 0.3%CVE-2026-93641CRITICALZimbra Collaboration Suite Classic Web Client Stored Cross-Site Scripting via Forged Share InvitationEPSS 0.3%CVE-2025-15064MEDIUMUltimate Member <= 2.11.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via DOM GadgetsEPSS 0.3%CVE-2024-48233MEDIUMmipjz 5.0.5 is vulnerable to Cross Site Scripting (XSS) in \app\setting\controller\ApiAdminSetting.php via the ICP parameter.EPSS 0.3%CVE-2025-29772HIGHOpenEMR allows Reflected XSS in CAMOS new.phpEPSS 0.3%CVE-2025-5568MEDIUMWpEvently <= 4.4.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-25908MEDIUMA stored cross-site scripting (XSS) vulnerability in tianti v2.3 allows attackers to execute arbitrary web scripts or HTML via injecting a cEPSS 0.3%CVE-2025-12330MEDIUMWillow CMS Add Post add cross site scriptingEPSS 0.3%