Falhas do tipo CWE-79

30.317 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-13402MEDIUMBuddyBoss Platform <= 2.7.70 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'link_title'EPSS 0.2%CVE-2026-22520HIGHWordPress Handmade Framework plugin <= 3.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-2214MEDIUMcode-projects for Plugin AdminAddAlbum.php cross site scriptingEPSS 0.2%CVE-2025-14000MEDIUMMembership Plugin – Restrict Content <= 3.2.15 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodesEPSS 0.2%CVE-2025-64758MEDIUM@dependencytrack/frontend Vulnerable to Persistent Cross-Site-Scripting via Welcome MessageEPSS 0.2%CVE-2025-15171MEDIUMSohuTV CacheCloud ServerController.java index cross site scriptingEPSS 0.2%CVE-2021-47910MEDIUMWordPress Plugin AccessPress Social Icons 1.8.2 Stored XSSEPSS 0.2%CVE-2024-57272MEDIUMSecuSTATION Camera V2.5.5.3116-S50-SMA-B20160811A and lower is vulnerable to Cross Site Scripting (XSS).EPSS 0.2%CVE-2025-11922MEDIUMInactive Logout <= 3.5.5 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-1420LOWXSS in Proget MDMEPSS 0.2%CVE-2025-10701MEDIUMTime Clock – A WordPress Employee & Volunteer Time Clock Plugin <= 1.3.1 - Authenticated (Custom+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-48849MEDIUMIn Roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1, an unsanitized subject field in the draft restored value could lead to storEPSS 0.2%CVE-2026-25025HIGHWordPress VikRestaurants plugin <= 1.5.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-12837MEDIUMaThemes Addons for Elementor <= 1.1.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Call To Action WidgetEPSS 0.2%CVE-2026-39390MEDIUMCI4MS has Stored XSS via srcdoc attribute bypass in Google Maps iframe settingEPSS 0.2%CVE-2024-56175MEDIUMIn Optimizely Configured Commerce before 5.2.2408, malicious payloads can be stored and subsequently executed in users' browsers under speciEPSS 0.2%CVE-2025-1459MEDIUMPage Builder by SiteOrigin <= 2.31.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-26659MEDIUMCross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (applications based on SAP GUI for HTML)EPSS 0.2%CVE-2024-13283MEDIUMFacets - Critical - Cross Site Scripting - SA-CONTRIB-2024-047EPSS 0.2%CVE-2024-53749MEDIUMWordPress Post Carousel Slider for Elementor plugin <= 1.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%