Falhas do tipo CWE-79

30.304 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-31907MEDIUMIBM Planning Analytics Local 2.0 and 2.1 is vulnerable to cross-site scripting. This vulnerability allows users to embed arbitrary JavaScripEPSS 0.2%CVE-2025-47689HIGHWordPress Video Blogster Lite plugin <= 1.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24594MEDIUMWordPress Livemesh Addons for WPBakery Page Builder plugin <= 3.9.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2023-53936MEDIUMCameleon CMS 2.7.4 Authenticated Persistent Cross-Site Scripting via Post CreationEPSS 0.2%CVE-2026-102290MEDIUMCodeCanyon Rocket LMS Student Profile Image Upload cross site scriptingEPSS 0.2%CVE-2025-22664MEDIUMWordPress Survey Maker Plugin <= 5.1.3.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-29014HIGHWordPress FoodMenu <= 1.20 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2023-37519HIGHHCL BigFix Platform is affected by Unathenticated Stored Cross-Site Scripting (XSS)EPSS 0.2%CVE-2025-70368MEDIUMWorklenz version 2.1.5 contains a Stored Cross-Site Scripting (XSS) vulnerability in the Project Updates feature. An attacker can submit a mEPSS 0.2%CVE-2025-26775MEDIUMWordPress BEAR Plugin <= 1.1.4.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-67704MEDIUMStored XSS vulnerability in ArcGIS Server.EPSS 0.2%CVE-2025-30006MEDIUMXorcom CompletePBX <= 5.2.35 Reflected Cross-Site ScriptingEPSS 0.2%CVE-2026-6990MEDIUMprojeto-siga novo cross site scriptingEPSS 0.2%CVE-2025-13515MEDIUMNouri.sh Newsletter <= 1.0.1.3 - Reflected Cross-Site Scripting via $_SERVER['PHP_SELF']EPSS 0.2%CVE-2026-3986MEDIUMCalculated Fields Form <= 5.4.5.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Form SettingsEPSS 0.2%CVE-2025-33104MEDIUMIBM WebSphere Application Server crossEPSS 0.2%CVE-2025-9367MEDIUMWelcart e-Commerce <= 2.11.20 - Authenticated (Editor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-28558MEDIUMwpForo Forum 2.4.14 Stored XSS via SVG Avatar File UploadEPSS 0.2%CVE-2024-37515MEDIUMWordPress XPlainer – WooCommerce Product FAQ [WooCommerce Accordion FAQ Plugin] plugin <= 1.6.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-23900MEDIUMExtension - phoca.cz - Stored XSS vectors in Phoca Maps component 5.0.0 - 6.0.2 for JoomlaEPSS 0.2%