Falhas do tipo CWE-79

30.300 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-8589HIGHImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLabEPSS 0.3%CVE-2025-52470MEDIUMChamilo: Stored Cross-Site Scripting (XSS) via Session Category NameEPSS 0.3%CVE-2026-103425MEDIUMBooking Package <= 1.7.29 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeEPSS 0.3%CVE-2025-6259MEDIUMesri-map-view <= 1.2.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via esri-map-view ShortcodeEPSS 0.3%CVE-2024-53759HIGHWordPress ArCa Payment Gateway plugin <= 1.3.1 - CSRF to Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-24632HIGHWordPress Advanced Dynamic Pricing for WooCommerce Plugin <= 4.9.0 -Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-67196MEDIUMPerspective 5.0.0 XSS via Debug Plugin innerHTML InterpolationEPSS 0.3%CVE-2025-12885MEDIUMEmbed Any Document <= 2.7.10 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-9500MEDIUMTablePress <= 3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via shortcode_debug ParameterEPSS 0.3%CVE-2026-1247MEDIUMSurvey <= 1.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via Plugin SettingsEPSS 0.3%CVE-2024-53740HIGHWordPress WooCommerce Ultimate Gift Card plugin < 2.9.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-13450MEDIUMSourceCodester Online Shop Project register.php cross site scriptingEPSS 0.3%CVE-2025-40892HIGHStored Cross-Site Scripting (XSS) in Reports in Guardian/CMC before 25.5.0EPSS 0.3%CVE-2026-74908MEDIUMGrav plugin-api before 1.0.15 Script Injection via SVGEPSS 0.3%CVE-2025-23645HIGHWordPress Find Content IDs plugin <= 1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-25051HIGHn8n Improper CSP Enforcement in Webhook Responses May Allow Stored XSSEPSS 0.3%CVE-2025-24563HIGHWordPress Cleanup – Directory Listing & Classifieds plugin <= 1.0.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-4656MEDIUMImport and export users and customers <= 1.26.6.1 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2022-41615MEDIUMWordPress Store Locator plugin <= 1.4.5 - Cross-Site Scripting (XSS) via Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2026-97020MEDIUMPO/MO Editor <= 1.4.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'podata' ParameterEPSS 0.3%