Falhas do tipo CWE-79

30.309 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-14819LOWEvent Tickets < 5.28.4 - Editor+ Stored XSS via Ticket MoveEPSS 0.2%CVE-2025-27279HIGHWordPress Flashfader Plugin <= 1.1.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25595MEDIUMInvoicePlane has Stored XSS via Invoice Number in Invoice View and DashboardEPSS 0.2%CVE-2025-23992MEDIUMWordPress Toocheke Companion plugin <= 1.166 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22566HIGHWordPress ULTIMATE VIDEO GALLERY Plugin <= 1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-6920MEDIUMStored XSS in NAC Telecommunication's NACPremiumEPSS 0.2%CVE-2025-54668MEDIUMWordPress myCred plugin <= 2.9.4.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-41031CRITICALA Stored Cross-Site Scripting (XSS) vulnerability occurs in Vinna Process MonitorEPSS 0.2%CVE-2025-11765MEDIUMStock Tools <= 1.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13866MEDIUMSimple Notification <= 1.3 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-21855CRITICALTarkov Data Manager has Unauthenticated Reflected XSSEPSS 0.2%CVE-2026-13701MEDIUMAdvanced Excerpt < 4.5 - Admin+ Stored XSS via Ellipsis SettingEPSS 0.2%CVE-2025-29410MEDIUMA cross-site scripting (XSS) vulnerability in the component /contact.php of Hospital Management System v1.0 allows attackers to execute arbiEPSS 0.2%CVE-2026-18986MEDIUMEntity Browser - Moderately critical - Cross site scripting - SA-CONTRIB-2026-094EPSS 0.2%CVE-2025-31903HIGHWordPress XV Random Quotes plugin <= 2.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-4212HIGHCheckout Files Upload for WooCommerce <= 2.2.1 - Unauthenticated Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-63281MEDIUMJoomla Extension - regularlabs.com - XSS vulnerability in Regular Labs conditions managerEPSS 0.2%CVE-2026-92232HIGHJoomla! Core - [20260916] - Core - XSS filter bypass in InputFilter via whitespace characters in HTML data URIs in Joomla 1.5.0-5.4.8, 6.0.0-6.1.3EPSS 0.2%CVE-2026-13344MEDIUMEssential Addons for Elementor - Lite < 6.6.10 - Contributor+ Stored XSS via Pricing Table Title TagEPSS 0.2%CVE-2025-24885HIGHpwn.college has a XSS on dojo pagesEPSS 0.2%