Falhas do tipo CWE-79

30.305 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-53989MEDIUMWordPress JetBlocks For Elementor plugin <= 1.3.19 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2023-53939MEDIUMTinyWebGallery v2.5 Stored Cross-Site Scripting via Folder Name ParameterEPSS 0.2%CVE-2025-43783MEDIUMReflected cross-site scripting (XSS) vulnerability in Liferay Portal 7.4.3.73 through 7.4.3.128, and Liferay DXP 2024.Q3.0 through 2024.Q3.1EPSS 0.2%CVE-2026-7001MEDIUMDatacom DM4100 Ethernet Configuration cross site scriptingEPSS 0.2%CVE-2025-42948MEDIUMCross-Site Scripting (XSS) vulnerability in SAP NetWeaver ABAP PlatformEPSS 0.2%CVE-2026-28772MEDIUMReflected XSS in IDC_Logging Index endpointEPSS 0.2%CVE-2021-35483MEDIUMThe Applications component of Nokia IMPACT version through 19.11.2.10-20210118042150283 allows an authenticated user to arbitrarily upload JEPSS 0.2%CVE-2026-6995MEDIUMBDCOM P3310D New User index.asp cross site scriptingEPSS 0.2%CVE-2026-6549MEDIUMLogo Manager For Enamad <= 0.7.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'title' Shortcode AttributeEPSS 0.2%CVE-2025-7498MEDIUMExclusive Addons for Elementor <= 2.7.9.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via CountdownEPSS 0.2%CVE-2026-5109HIGHGravity Forms <= 2.10.0 - Unauthenticated Stored Cross-Site Scripting via Product OptionEPSS 0.2%CVE-2025-53994MEDIUMWordPress JetPopup plugin <= 2.0.15 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-109633HIGHFrappe ERPNext before 15.119.1 Stored XSS via Public Booking PageEPSS 0.2%CVE-2025-42942MEDIUMCross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server for ABAPEPSS 0.2%CVE-2025-29526MEDIUMA Cross-Site Scripting (XSS) vulnerability in the search function of Q4 Inc Investor Relations Platform v5.147.1.2 allows attackers to execuEPSS 0.2%CVE-2025-4170MEDIUMXavin's Review Ratings <= 1.4.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-6998MEDIUMBDCOM P3310D New RMON Statistics cross site scriptingEPSS 0.2%CVE-2025-53984MEDIUMWordPress JetTabs plugin <= 2.2.9 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2023-53897MEDIUMRukovoditel 3.4.1 Multiple Stored Cross-Site Scripting via CommentsEPSS 0.2%CVE-2025-53995MEDIUMWordPress JetPopup plugin <= 2.0.15.1 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%