Falhas do tipo CWE-79

30.300 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-1808MEDIUMOrange Confort+ accessibility toolbar for WordPress <= 0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2026-11996MEDIUMAdvanced Popups <= 1.2.3 - Authenticated (Author+) Stored Cross-Site Scripting via 'Notification Button Link' FieldEPSS 0.3%CVE-2024-35765MEDIUMWordPress Greenshift – animation and page builder blocks plugin <= 8.8.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-42839MEDIUMERPNext 16.16.0 - Stored XSS in POS cart item renderingEPSS 0.3%CVE-2024-50446MEDIUMWordPress Futurio Extra plugin <= 2.0.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-2387MEDIUMEvent Organiser <= 3.12.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via eo_events ShortcodeEPSS 0.3%CVE-2026-15016MEDIUMPaid Memberships Pro – Content Restriction, User Registration, & Paid Subscriptions <= 3.8.1 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-63607MEDIUMTechStore 1.0 is vulnerable to Cross Site Scripting (XSS). In contact_display, the application echoes the id parameter verbatim into the renEPSS 0.3%CVE-2026-12536MEDIUMAvada Builder <= 3.15.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Module TitleEPSS 0.3%CVE-2024-7388MEDIUMWP Bannerize Pro <= 1.9.0 - Authenticated (Editor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-30561MEDIUMA Reflected Cross-Site Scripting (XSS) vulnerability exists in SourceCodester Sales and Inventory System 1.0. The vulnerability is located iEPSS 0.3%CVE-2026-5391MEDIUMLatePoint <= 5.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2026-1909MEDIUMWaveSurfer-WP <= 2.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'src' Shortcode AttributeEPSS 0.3%CVE-2026-16974MEDIUMKirki - Freeform Page Builder, Website Builder & Customizer <= 6.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via post_meta ShortcodeEPSS 0.3%CVE-2026-107754MEDIUMGeoDirectory <= 2.8.190 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Image TitleEPSS 0.3%CVE-2026-30556MEDIUMA Reflected Cross-Site Scripting (XSS) vulnerability exists in SourceCodester Sales and Inventory System 1.0. The vulnerability is located iEPSS 0.3%CVE-2026-15301MEDIUMBuddyHolis TableSearch <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-47390MEDIUMWordPress Jeg Elementor Kit plugin <= 2.6.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-35753MEDIUMWordPress TemplatesNext OnePager plugin <= 1.3.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-59712MEDIUMSnipe-IT before 8.1.18 allows XSS.EPSS 0.3%