Falhas do tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-51951MEDIUMStored XSS in Server Admin APIEPSS 0.3%CVE-2026-1646MEDIUMAdvance Block Extend <= 1.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via TitleColor Block AttributeEPSS 0.3%CVE-2026-28561MEDIUMwpForo Forum 2.4.14 Stored XSS via Unescaped Forum Description in TemplatesEPSS 0.3%CVE-2026-28560MEDIUMwpForo Forum 2.4.14 Stored XSS via Unsafe JSON Encoding in Inline ScriptEPSS 0.3%CVE-2024-51956MEDIUMStored XSS vulnerability in ArcGIS Server Administrator DirectoryEPSS 0.3%CVE-2025-52653HIGHCross Site Scripting vulnerability in the web applicationEPSS 0.3%CVE-2026-4011MEDIUMPower Charts <= 0.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeEPSS 0.3%CVE-2025-5752MEDIUMVertical scroll image slideshow gallery <= 11.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via width ParameterEPSS 0.3%CVE-2025-5144MEDIUMThe Events Calendar <= 6.13.2 - Authenticated (Contributor+) DOM-Based Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-34564MEDIUMWordPress Counter Up plugin <= 2.2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-23841CRITICALMovary vulnerable to Cross-site Scripting with `?categoryCreated=` paramEPSS 0.3%CVE-2026-6559MEDIUMWavlink WL-WN579A3 login.cgi sub_401F80 cross site scriptingEPSS 0.3%CVE-2025-7660MEDIUMMap My Locations <= 1.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-61456MEDIUMA Cross-Site Scripting (XSS) vulnerability exists in Bhabishya-123 E-commerce 1.0, specifically within the index endpoint. Unsanitized inputEPSS 0.3%CVE-2026-3998MEDIUMWM JqMath <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'style' Shortcode AttributeEPSS 0.3%CVE-2024-52389MEDIUMWordPress WP Job Portal plugin <= 2.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-55133MEDIUMIn Agora Foundation Agora fall23-Alpha1 before b087490, there is XSS via topicName in client/agora/public/js/editorManager.js.EPSS 0.3%CVE-2025-48918HIGHSimple Klaro - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-071EPSS 0.3%CVE-2025-6673MEDIUMEasy restaurant menu manager <= 2.0.1 - Authenticated (Contributot+) Stored Cross-Site Scripting via `nsc_eprm_menu_link` ShortcodeEPSS 0.3%CVE-2025-14519MEDIUMbaowzh hfly advtext add cross site scriptingEPSS 0.3%