Falhas do tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-14519MEDIUMbaowzh hfly advtext add cross site scriptingEPSS 0.3%CVE-2025-66924MEDIUMA Cross-site scripting (XSS) vulnerability in Create/Update Item Kit(s) in Open Source Point of Sale v3.4.1 allows remote attackers to injecEPSS 0.3%CVE-2025-6673MEDIUMEasy restaurant menu manager <= 2.0.1 - Authenticated (Contributot+) Stored Cross-Site Scripting via `nsc_eprm_menu_link` ShortcodeEPSS 0.3%CVE-2025-10940MEDIUMTotal.js CMS Layout admin layouts_save cross site scriptingEPSS 0.3%CVE-2026-3513MEDIUMTableOn – WordPress Posts Table Filterable <= 1.0.4.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'class' Shortcode AttributeEPSS 0.3%CVE-2023-53928MEDIUMPHPFusion 9.10.30 Stored Cross-Site Scripting via File Manager UploadEPSS 0.3%CVE-2025-48918HIGHSimple Klaro - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-071EPSS 0.3%CVE-2025-50848MEDIUMA file upload vulnerability was discovered in CS Cart 4.18.3, allows attackers to execute arbitrary code. CS Cart 4.18.3 allows unrestrictedEPSS 0.3%CVE-2025-0666HIGHBOINC Server Stored XSS Injection in host_venue_action.phpEPSS 0.3%CVE-2026-3718HIGHManageWP Worker <= 4.9.31 - Unauthenticated Stored Cross-Site Scripting via 'MWP-Key-Name' HeaderEPSS 0.3%CVE-2026-4379MEDIUMLightPress Lightbox <= 2.3.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'group' Shortcode AttributeEPSS 0.3%CVE-2026-47761HIGHTinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` injectionEPSS 0.3%CVE-2026-1796MEDIUMStyleBidet <= 1.0.0 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-21188MEDIUMVulnerability in the Oracle Financial Services Revenue Management and Billing product of Oracle Financial Services Applications (component: EPSS 0.3%CVE-2025-8196MEDIUMMagical Addons For Elementor <= 1.3.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom AttributesEPSS 0.3%CVE-2014-125131MEDIUMDedeCMS 5.6 / 5.7 Reflected XSS via adminDirHand in config.phpEPSS 0.3%CVE-2024-45594HIGHDecidim allows cross-site scripting (XSS) in the online or hybrid meeting embedsEPSS 0.3%CVE-2025-7809MEDIUMStreamWeasels Twitch Integration <= 1.9.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-53253MEDIUMWordPress WP Edit plugin <= 4.0.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-8391MEDIUMMagic Edge – Lite <= 1.1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via height ParameterEPSS 0.3%