Falhas do tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-27442MEDIUMZoom Workplace Apps - Cross Site ScriptingEPSS 0.2%CVE-2026-5717MEDIUMVI: Include Post By <= 0.4.200706 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'class_container' Shortcode AttributeEPSS 0.2%CVE-2026-2545MEDIUMLigeroSmart index.pl cross site scriptingEPSS 0.2%CVE-2025-51857MEDIUMThe reconcile method in the AttachmentReconciler class of the Halo system v.2.20.18LTS and before is vulnerable to XSS attacks.EPSS 0.2%CVE-2025-13002HIGHXSS in Farktor Software's E-Commerce PackageEPSS 0.2%CVE-2025-22680HIGHWordPress Ad Inserter Pro plugin <= 2.7.39 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-0800HIGHUser Submitted Posts – Enable Users to Submit Posts from the Front End <= 20251210 - Unauthenticated Stored Cross-Site Scripting via Custom FieldEPSS 0.2%CVE-2026-36239MEDIUMPbootCMS v.3.2.11 contains a code injection vulnerability in its site configuration functionalityEPSS 0.2%CVE-2026-104807LOWMitel MiVoice Office 400 stored Cross-Site ScriptingEPSS 0.2%CVE-2026-109232HIGHSalon Booking System <= 10.31.9 - Unauthenticated Stored Cross-Site Scripting via Custom Checkout Field (Html/File Type) via Public Booking AJAXEPSS 0.2%CVE-2025-15219MEDIUMSohuTV CacheCloud MachineManageController.java doPodList cross site scriptingEPSS 0.2%CVE-2025-5528MEDIUMSocial Sharing Plugin – Sassy Social Share <= 3.3.75 - Reflected Cross-Site Scripting via 'heateor_mastodon_share' ParameterEPSS 0.2%CVE-2024-38640HIGHDownload StationEPSS 0.2%CVE-2026-93303HIGHHT Contact Form <= 2.10.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'form_data' Rich Text Field via Draft Save/ResumeEPSS 0.2%CVE-2023-53938MEDIUMRockMongo 1.1.7 Stored Cross-Site Scripting Vulnerability via Multiple ParametersEPSS 0.2%CVE-2026-96270HIGHUltimate Member <= 2.13.1 - Unauthenticated Stored Cross-Site Scripting via 'form_id' ParameterEPSS 0.2%CVE-2026-64950HIGHStored Cross-Site Scripting via Directory Name in File Manager Create DirectoryEPSS 0.2%CVE-2025-68942MEDIUMGitea before 1.22.2 allows XSS because the search input box (for creating tags and branches) is v-html instead of v-text.EPSS 0.2%CVE-2026-48167MEDIUMFilament: Unvalidated ImageColumn and ImageEntry values can be used for XSSEPSS 0.2%CVE-2024-12045MEDIUMEssential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates <= 5.0.9 - Authenticated (Admin+) Stored Cross-Site ScriptingEPSS 0.2%