Falhas do tipo CWE-79

30.299 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-45594HIGHDecidim allows cross-site scripting (XSS) in the online or hybrid meeting embedsEPSS 0.3%CVE-2025-63949MEDIUMA Reflected Cross-Site Scripting (XSS) vulnerability in yohanawi Hotel Management System (commit 87e004a) allows a remote attacker to executEPSS 0.3%CVE-2026-3513MEDIUMTableOn – WordPress Posts Table Filterable <= 1.0.4.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'class' Shortcode AttributeEPSS 0.3%CVE-2023-53928MEDIUMPHPFusion 9.10.30 Stored Cross-Site Scripting via File Manager UploadEPSS 0.3%CVE-2025-53253MEDIUMWordPress WP Edit plugin <= 4.0.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2016-20102MEDIUMJavaMelody < 1.60.0 Reflected XSS via monitoring graph parameterEPSS 0.3%CVE-2025-52842MEDIUMLaundry 2.3.0 - Account Takeover via Reflected XSSEPSS 0.3%CVE-2025-8317MEDIUMCustom Word Cloud <= 0.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via angle ParameterEPSS 0.3%CVE-2025-5742MEDIUMCWE-79: Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability exists when an authenticated userEPSS 0.3%CVE-2025-9499MEDIUMOcean Extra <= 2.4.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via oceanwp_library ShortcodeEPSS 0.3%CVE-2025-64747MEDIUMDirectus Vulnerable to Stored Cross-site ScriptingEPSS 0.3%CVE-2026-27568MEDIUMAVideo has Stored Cross-Site Scripting via Markdown Comment InjectionEPSS 0.3%CVE-2018-25249MEDIUMMyBB My Arcade Plugin 1.3 Persistent XSS via CommentEPSS 0.3%CVE-2025-47497MEDIUMWordPress Logo Showcase plugin <= 3.0.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-6864MEDIUMCBX 5 Star Rating & Review <= 1.0.7 - Reflected Cross-Site Scripting via 'page' ParameterEPSS 0.3%CVE-2025-8015MEDIUMShortcodes Ultimate <= 7.4.2 - Authenticated (Author+) Stored Cross-Site Scripting via Image Title and Slide LinkEPSS 0.3%CVE-2025-7811MEDIUMStreamWeasels YouTube Integration <= 1.4.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-43760MEDIUMA reflected cross-site scripting (XSS) vulnerability in the Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q1.0 through 2025.QEPSS 0.3%CVE-2026-108725MEDIUMCheshire Cat AI core through 2.0.23 Stored XSS via uploads pluginEPSS 0.3%CVE-2025-29389MEDIUMPbootCMS v3.2.9 contains a XSS vulnerability in admin.php?p=/Content/index/mcode/2#tab=t2.EPSS 0.3%