Falhas do tipo CWE-79

30.300 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-0595HIGHImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLabEPSS 0.3%CVE-2026-102333MEDIUMhttpdbg before 2.2.1 Stored Cross-Site Scripting via javascript URLEPSS 0.3%CVE-2025-15549MEDIUMFluentCMS 2026 Stored XSS via SVG Upload in File ManagementEPSS 0.3%CVE-2025-36320MEDIUMVulnerabilities found in Watson Data IntelligenceEPSS 0.3%CVE-2025-22757MEDIUMWordPress CodeBard Help Desk plugin <= 1.1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-3134MEDIUMMaster Addons for Elementor <= 2.0.6.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-1512MEDIUMPowerPack Elementor Addons (Free Widgets, Extensions and Templates) <= 2.9.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-2840MEDIUMEmail Encoder – Protect Email Addresses and Phone Numbers <= 2.4.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via eeb_mailto ShortcodeEPSS 0.3%CVE-2026-5568MEDIUMAkaunting Invoice/Billing cross site scriptingEPSS 0.3%CVE-2025-31418HIGHWordPress Gravel theme <= 1.6 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-14129MEDIUMLike DisLike Voting <= 1.0.1 - Reflected Cross-Site Scripting via $_SERVER['PHP_SELF']EPSS 0.3%CVE-2025-31007HIGHWordPress Billplz Addon for Contact Form 7 Plugin <= 1.2.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-13625MEDIUMWP-SOS-Donate Donation Sidebar Plugin <= 0.9.2 - Reflected Cross-Site Scripting via $_SERVER['PHP_SELF']EPSS 0.3%CVE-2024-10148MEDIUMAwesome buttons <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via btn2 ShortcodeEPSS 0.3%CVE-2024-5346MEDIUMFlatsome | Multi-Purpose Responsive WooCommerce Theme <= 3.18.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple ShortcodesEPSS 0.3%CVE-2024-1814MEDIUMSpectra – WordPress Gutenberg Blocks <= 2.12.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Testimonial BlockEPSS 0.3%CVE-2025-13626MEDIUMmyLCO <= 0.8.1 - Reflected Cross-Site Scripting via $_SERVER['PHP_SELF']EPSS 0.3%CVE-2025-65734MEDIUMAn authenticated arbitrary file upload vulnerability in the Courses/Work Assignments module of gunet Open eClass v3.11, and fixed in v3.13, EPSS 0.3%CVE-2025-49038HIGHWordPress WP Dynamic Links plugin <= 1.0.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-22296MEDIUMWordPress Hash Elements plugin <= 1.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%