Falhas do tipo CWE-79

30.302 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-68838HIGHWordPress MemberPress Discord Addon plugin <= 1.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-21866MEDIUMDify - Stored XSS in chatEPSS 0.3%CVE-2026-1854MEDIUMPost Flagger <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'slug' Shortcode AttributeEPSS 0.3%CVE-2022-50966MEDIUMuBidAuction 2.0.1 news manage Reflected XSSEPSS 0.3%CVE-2025-1054MEDIUMUiCore Elements – Free Elementor widgets and templates <= 1.0.16 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.3%CVE-2026-57213MEDIUMRabbitMQ: Stored XSS federation management plugin via unsanitized consumer_tag renderingEPSS 0.3%CVE-2025-30972HIGHWordPress Woocommerce Line Notify plugin <= 1.1.7 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2025-68520HIGHWordPress DotLife theme < 4.9.5 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-1099MEDIUMAdministrative Shortcodes <= 0.3.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'login' and 'logout' Shortcode AttributesEPSS 0.3%CVE-2025-31501HIGHBest Practical RT (Request Tracker) 5.0 through 5.0.7 allows XSS via JavaScript injection in an RT permalink.EPSS 0.3%CVE-2022-50968MEDIUMuBidAuction 2.0.1 auctions manage Reflected XSSEPSS 0.3%CVE-2026-1851MEDIUMiVysilani Shortcode <= 3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'width' Shortcode AttributeEPSS 0.3%CVE-2026-6447MEDIUMCall for Price for WooCommerce <= 4.2.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Call for Price' Label SettingsEPSS 0.3%CVE-2026-1886MEDIUMGo Night Pro | WordPress Dark Mode Plugin <= 1.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'margin' Shortcode AttributeEPSS 0.3%CVE-2024-42550MEDIUMA cross-site scripting (XSS) vulnerability in the component /email/welcome.php of Mini Inventory and Sales Management System commit 18aa3d aEPSS 0.3%CVE-2025-47654HIGHWordPress FormLift for Infusionsoft Web Forms plugin <= 7.5.20 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-49245LOWSFTPGo: Stored XSS via inline parameter on public shares and user file downloadEPSS 0.3%CVE-2026-77643MEDIUMA cross-site scripting vulnerability in queryparser/termgenerator_internal.cc in Xapian xapian-core before 2.1.0 and before 1.4.32 exists dEPSS 0.3%CVE-2024-51915MEDIUMWordPress LiteSpeed Cache plugin <= 6.5.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-13854MEDIUMCurved Text <= 0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%