Falhas do tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-68942MEDIUMGitea before 1.22.2 allows XSS because the search input box (for creating tags and branches) is v-html instead of v-text.EPSS 0.2%CVE-2025-68946MEDIUMIn Gitea before 1.20.1, a forbidden URL scheme such as javascript: can be used for a link, aka XSS.EPSS 0.2%CVE-2026-48167MEDIUMFilament: Unvalidated ImageColumn and ImageEntry values can be used for XSSEPSS 0.2%CVE-2025-57762MEDIUMWeGIA Stored Cross-Site Scripting (XSS) vulnerability in the endpoint 'dependente_docdependente.php' with parameter 'nome'EPSS 0.2%CVE-2025-6068MEDIUMFooGallery – Responsive Photo Gallery, Image Viewer, Justified, Masonry & Carousel <= 2.4.31 - Authenticated (Contributor+) DOM-Based Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-66309MEDIUMGrav vulnerable to Cross-Site Scripting (XSS) Reflected endpoint /admin/pages/[page], parameter data[header][content][items], located in the "Blog Config" tabEPSS 0.2%CVE-2025-15202MEDIUMSohuTV CacheCloud TaskController.java taskQueueList cross site scriptingEPSS 0.2%CVE-2025-15204MEDIUMSohuTV CacheCloud QuartzManageController.java doQuartzList cross site scriptingEPSS 0.2%CVE-2025-15203MEDIUMSohuTV CacheCloud ResourceController.java index cross site scriptingEPSS 0.2%CVE-2025-7440MEDIUMAnber Elementor Addon <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Carousel button linkEPSS 0.2%CVE-2025-64177MEDIUMThinkDashboard: Stored XSS in Dashboard via Malicious BookmarkEPSS 0.2%CVE-2025-5528MEDIUMSocial Sharing Plugin – Sassy Social Share <= 3.3.75 - Reflected Cross-Site Scripting via 'heateor_mastodon_share' ParameterEPSS 0.2%CVE-2024-27125LOWHelpdeskEPSS 0.2%CVE-2024-45087MEDIUMIBM WebSphere Application Server cross-site scriptingEPSS 0.2%CVE-2026-110221MEDIUMQloApps through 1.7.0 Reflected XSS via Advanced Price Rule Name and Impact ValueEPSS 0.2%CVE-2026-104808LOWMitel MiVoice Office 400 stored Cross-Site ScriptingEPSS 0.2%CVE-2026-110701HIGHCP Multi View Events Calendar <= 1.4.42 - Unauthenticated Stored Cross-Site Scripting via 'CalendarTitle' ParameterEPSS 0.2%CVE-2023-51436MEDIUMCross-site scripting vulnerability exists in UNIVERSAL PASSPORT RX versions 1.0.0 to 1.0.8, which may allow a remote authenticated attacker EPSS 0.2%CVE-2019-25400MEDIUMIPFire 2.21 Core Update 127 Multiple XSS via fwhosts.cgiEPSS 0.2%CVE-2026-96649HIGHFrontend Post Submission Manager Lite <= 1.3.4 - Unauthenticated Stored DOM-Based Cross-Site Scripting via post_content Parameter (data-label DOM Sink)EPSS 0.2%