Falhas do tipo CWE-79

30.317 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-1419LOWXSS in Proget MDMEPSS 0.2%CVE-2026-2098MEDIUMFlowring｜AgentFlow - Reflected Cross-site ScriptingEPSS 0.2%CVE-2026-34127MEDIUMStored Cross-Site Scripting (XSS) via Configuration File Import on TP-Link's TL-SG108PEEPSS 0.2%CVE-2026-78190—WebDyne versions from 2.014 before 3.022 for Perl reflect request parameters unescaped into form field values, allowing cross-site scriptingEPSS 0.2%CVE-2025-15173MEDIUMSohuTV CacheCloud InstanceController.java advancedAnalysis cross site scriptingEPSS 0.2%CVE-2026-105987MEDIUMStored XSS in KGS Software tia ViewerEPSS 0.2%CVE-2025-45806MEDIUMA cross-site scripting (XSS) vulnerability in rrweb-snapshot before v2.0.0-alpha.18 allows attackers to execute arbitrary web scripts or HTMEPSS 0.2%CVE-2024-41174HIGHBeckhoff: Improper input neutralization vulnerability in the IPC-Diagnostics package in TwinCAT/BSDEPSS 0.2%CVE-2026-120248MEDIUMThelia before 3.1.1 Stored XSS via SVG Store Logo and Banner UploadsEPSS 0.2%CVE-2026-34229MEDIUMEmlog: Stored XSS in Comment Module via URI Scheme Validation BypassEPSS 0.2%CVE-2025-22763HIGHWordPress Brizy Pro Plugin <= 2.6.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-57982MEDIUMWordPress Advance Portfolio Grid plugin <= 1.07.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-116385MEDIUMBdtask Garage 24 Garage Management Software Profile edit_profile cross site scriptingEPSS 0.2%CVE-2024-10895MEDIUMCounter Up – Animated Number Counter & Milestone Showcase <= 2.4.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-15146MEDIUMSohuTV CacheCloud UserManageController.java doUserList cross site scriptingEPSS 0.2%CVE-2026-118652MEDIUMEcho: Reflected Cross-Site Scripting (XSS) via unsanitized JSONP callback in Context.JSONP / Context.JSONPBlobEPSS 0.2%CVE-2025-15483MEDIUMLink Hopper <= 2.5 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'hop_name' ParameterEPSS 0.2%CVE-2026-54386MEDIUMmarimo < 0.23.9 XSS via file Query Parameter in assets.pyEPSS 0.2%CVE-2024-53747MEDIUMWordPress Video Player for WPBakery plugin <= 1.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-11828MEDIUMMagazine Companion <= 1.2.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%