Falhas do tipo CWE-79

30.309 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-96871HIGHMang Board <= 2.4.2 - Unauthenticated Stored Cross-Site Scripting via 'data_type' ParameterEPSS 0.2%CVE-2026-93654HIGHPremium Packages <= 7.2.1 - Unauthenticated Stored Cross-Site Scripting via 'cart_items[][product_name]' ParameterEPSS 0.2%CVE-2024-13350MEDIUMSearchIQ – The Search Solution <= 4.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-96572HIGHWP Meteor Website Speed Optimization Addon <= 3.4.18 - Unauthenticated Stored Cross-Site Scripting via Comment Author NameEPSS 0.2%CVE-2025-63593MEDIUMGrav CMS1.7.49.5 is vulnerable to Cross Site Scripting (XSS).EPSS 0.2%CVE-2026-96039HIGHBA Book Everything <= 1.8.27 - Unauthenticated Stored Cross-Site Scripting via first_name ParameterEPSS 0.2%CVE-2025-10372MEDIUMPortabilis i-Educar educar_modulo_cad.php cross site scriptingEPSS 0.2%CVE-2025-63735MEDIUMA reflected Cross site scripting (XSS) vulnerability in Ruckus Unleashed 200.13.6.1.319 via the name parameter to the the captive-portal endEPSS 0.2%CVE-2025-43815MEDIUMReflected cross-site scripting (XSS) vulnerability on the page configuration page in Liferay Portal 7.4.3.102 through 7.4.3.110, and LiferayEPSS 0.2%CVE-2025-10591MEDIUMPortabilis i-Educar Editar Função educar_funcao_cad.php cross site scriptingEPSS 0.2%CVE-2025-61999MEDIUMOPEXUS FOIAXpress stored XSS via logo imageEPSS 0.2%CVE-2025-4589MEDIUMBon Toolkit <= 1.3.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-10053MEDIUMTableGen – Data Table Generator <= 1.3.1 - Authenticated (Admin+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-15188MEDIUMCampcodes Complete Online Beauty Parlor Management System search-invoices.php cross site scriptingEPSS 0.2%CVE-2024-46334MEDIUMkashipara School Management System 1.0 is vulnerable to Cross Site Scripting (XSS) via the formuser and formpassword parameters in /adminLogEPSS 0.2%CVE-2026-95684HIGHVikBooking Hotel Booking Engine & PMS <= 1.8.15 - Unauthenticated Stored Cross-Site Scripting via 'attachments[name]' ParameterEPSS 0.2%CVE-2024-10032MEDIUMIn Eclipse GlassFish version 7.0.15 is possible to perform Stored Cross-site scripting attacks in the Administration Console.EPSS 0.2%CVE-2025-12025MEDIUMYouTube Subscribe <= 3.0.0 - Authenticated (Admin+) Stored Cross-Site Scripting via Title and Channel IDEPSS 0.2%CVE-2026-115840HIGHVikRentCar Car Rental Management System <= 1.4.9 - Unauthenticated Stored Cross-Site Scripting via 'poplink' ParameterEPSS 0.2%CVE-2024-44655MEDIUMPHPGurukul Complaint Management System 2.0 is vulnerable to Cross Site Scripting (XSS) via the search parameter in user-search.php.EPSS 0.2%