Falhas do tipo CWE-79

30.302 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-49245LOWSFTPGo: Stored XSS via inline parameter on public shares and user file downloadEPSS 0.3%CVE-2025-47654HIGHWordPress FormLift for Infusionsoft Web Forms plugin <= 7.5.20 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-21866MEDIUMDify - Stored XSS in chatEPSS 0.3%CVE-2026-3529MEDIUMGoogle Analytics GA4 - Moderately critical - Cross-site Scripting - SA-CONTRIB-2026-024EPSS 0.3%CVE-2025-14745MEDIUMRSS Aggregator – RSS Import, News Feeds, Feed to Post, and Autoblogging <= 5.0.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via wp-rss-aggregator ShortcodeEPSS 0.3%CVE-2025-47946MEDIUMsymfony/ux-live-component and symfony/ux-twig-component vulnerable to unsanitized HTML attribute injection via ComponentAttributesEPSS 0.3%CVE-2026-1099MEDIUMAdministrative Shortcodes <= 0.3.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'login' and 'logout' Shortcode AttributesEPSS 0.3%CVE-2024-42550MEDIUMA cross-site scripting (XSS) vulnerability in the component /email/welcome.php of Mini Inventory and Sales Management System commit 18aa3d aEPSS 0.3%CVE-2026-1854MEDIUMPost Flagger <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'slug' Shortcode AttributeEPSS 0.3%CVE-2025-13862MEDIUMMenu Card <= 0.8.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2025-8459HIGHA user with low privileges can inject XSS in the Monitoring Recurrent downtimes pageEPSS 0.3%CVE-2026-2496MEDIUMEd's Font Awesome <= 2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.3%CVE-2025-69241MEDIUMStored XSS in Raytha CMSEPSS 0.3%CVE-2025-32920MEDIUMWordPress TI WooCommerce Wishlist plugin <= 2.10.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-11425LOWDomoticz Mobile Dashboard versions prior to 2026.3 Stored XSS via Text/Alert Device RenderingEPSS 0.3%CVE-2026-33051MEDIUMCraft CMS Vulnerable to Stored XSS in Revision Context MenuEPSS 0.3%CVE-2025-61642NONEStored XSS through system messages provided to CodexHtmlFormsEPSS 0.3%CVE-2024-13650MEDIUMPiotnet Addons For Elementor <= 2.4.36 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-65959HIGHOpen WebUI vulnerable to Stored DOM XSS via Note 'Download PDF'EPSS 0.3%CVE-2025-15396HIGHLibrary Viewer < 3.2.0 - Reflected Cross-Site ScriptingEPSS 0.3%