Falhas do tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-9129MEDIUMFlexi <= 4.28 - Authenticated (Contributor+) Stored Cross-Site Scripting via flexi-form-tag ShortcodeEPSS 0.2%CVE-2026-5110HIGHGravity Forms <= 2.10.0 - Unauthenticated Stored Cross-Site Scripting via Single Product Field Inside RepeaterEPSS 0.2%CVE-2025-50690MEDIUMA Cross-Site Scripting (XSS) vulnerability exists in SpatialReference.org (OSGeo/spatialreference.org) versions prior to 2025-05-17 (commit EPSS 0.2%CVE-2026-3251MEDIUMXSS in Webremium's Mezunum SatiyorumEPSS 0.2%CVE-2019-25400MEDIUMIPFire 2.21 Core Update 127 Multiple XSS via fwhosts.cgiEPSS 0.2%CVE-2026-110701HIGHCP Multi View Events Calendar <= 1.4.42 - Unauthenticated Stored Cross-Site Scripting via 'CalendarTitle' ParameterEPSS 0.2%CVE-2026-33517HIGHMantisBT Vulnerable to Stored HTML Injection in Tag Delete ConfirmationEPSS 0.2%CVE-2025-9206MEDIUMMeks Easy Maps <= 2.1.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-96649HIGHFrontend Post Submission Manager Lite <= 1.3.4 - Unauthenticated Stored DOM-Based Cross-Site Scripting via post_content Parameter (data-label DOM Sink)EPSS 0.2%CVE-2026-23625HIGHOpenProject has stored XSS regression using attachments and script-src selfEPSS 0.2%CVE-2013-20005MEDIUMQool CMS 2.0 RC2 Cross-Site Request Forgery via adduserEPSS 0.2%CVE-2026-22881MEDIUMCross-site scripting vulnerability exists in Message function of Cybozu Garoon 5.15.0 to 6.0.3, which may allow an attacker to reset arbitraEPSS 0.2%CVE-2026-110221MEDIUMQloApps through 1.7.0 Reflected XSS via Advanced Price Rule Name and Impact ValueEPSS 0.2%CVE-2024-45087MEDIUMIBM WebSphere Application Server cross-site scriptingEPSS 0.2%CVE-2021-47905MEDIUMMyBB Delete Account Plugin 1.4 - Cross-Site ScriptingEPSS 0.2%CVE-2025-9875MEDIUMEvent Tickets, RSVPs, Calendar <= 1.0.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-39392MEDIUMCI4MS has Stored XSS in Pages Content Due to Missing html_purify SanitizationEPSS 0.2%CVE-2024-12038MEDIUMFrontend Content Forms for User Submissions (UGC) <= 2.8.15 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'buddyforms_nav' ShortcodeEPSS 0.2%CVE-2024-13456MEDIUMEasy Quiz Maker <= 2.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-1915MEDIUMSimple Plyr <= 0.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'poster' Shortcode AttributeEPSS 0.2%