Falhas do tipo CWE-79

30.300 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-4942MEDIUMCustom Dash <= 1.0.2 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-77088MEDIUMjusthtml 0.9.0 through 1.21.0 Cross-Site Scripting via code-spanEPSS 0.3%CVE-2025-13648MEDIUMSTORED CROSS-SITE SCRIPTING (XSS) ON MICROCOM'S ZEUSWEBEPSS 0.3%CVE-2026-84191MEDIUMLibreNMS before 26.5.0 Stored XSS via SNMP VRF fieldsEPSS 0.3%CVE-2026-116047MEDIUMPrivoce Vocechat Query Parameter widget.html cross site scriptingEPSS 0.3%CVE-2024-37922MEDIUMWordPress Premium Addons for Elementor plugin <= 4.10.34 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-82776MEDIUMCross-site scripting vulnerability exists in CONPROSYS PAC Series. If this vulnerability is exploited, an arbitrary script may be executed oEPSS 0.3%CVE-2024-8325MEDIUMGutenberg Page Builder Blocks & Ready-Made Patterns Library <= 3.2.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-34795MEDIUMWordPress Tainacan plugin <= 0.21.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-26904MEDIUMWordPress WP Responsive Auto Fit Text plugin <= 0.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-31556MEDIUMWordPress IMPress for IDX Broker plugin <= 3.2.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-31549MEDIUMWordPress Fusion plugin <= 1.6.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-26881MEDIUMWordPress Sticky Content plugin <= 1.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-0627MEDIUMCustom Field Template <= 2.6.1 - Authenticated(Constibutor+) Stored Cross-Site Scripting via Custom Field NameEPSS 0.3%CVE-2025-47632MEDIUMWordPress Awesome Gallery plugin <= 1.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-11436MEDIUMMage AI Sign-in Flow index.tsx useMutation cross site scriptingEPSS 0.3%CVE-2026-30048MEDIUMA stored cross-site scripting (XSS) vulnerability exists in the NotChatbot WebChat widget thru 1.4.4. User-supplied input is not properly saEPSS 0.3%CVE-2026-85158MEDIUMAVideo Reflected XSS via videoEmbeded.php link parameterEPSS 0.3%CVE-2026-85485MEDIUMHTML::FormHandler versions before 0.410002 for Perl render some error messages into HTML without escapingEPSS 0.3%CVE-2026-39941MEDIUMChurchCRM has an XSS vulnerabilityEPSS 0.3%