Falhas do tipo CWE-79

30.343 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-32923HIGHWordPress Tourmaster plugin < 5.4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-57203MEDIUMMagicProject AI version 9.1 is affected by a Cross-Site Scripting (XSS) vulnerability within the chatbot generation feature available to autEPSS 0.2%CVE-2025-10344MEDIUMHTML injection in Perfex CRMEPSS 0.2%CVE-2025-10342MEDIUMHTML injection in Perfex CRMEPSS 0.2%CVE-2025-26743HIGHWordPress Advance WP Query Search Filter plugin <= 1.0.10 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-6067MEDIUMEasy Social Feed – Social Photos Gallery – Post Feed – Like Box <= 6.6.7 - Authenticated (Contributor+) DOM-Based Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-105950MEDIUMgetformwork URI Sanitizer DomSanitizer.php sanitizeNodeAttribute cross site scriptingEPSS 0.2%CVE-2026-81917MEDIUMConcrete CMS below 9.5.3 is vulnerable to Stored XSS in the Document Library block file description and tagsEPSS 0.2%CVE-2025-11197MEDIUMDraft List <= 2.6.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-40675MEDIUMReflected Cross-Site Scripting (XSS) in BagistoEPSS 0.2%CVE-2025-59749MEDIUMMultiple vulnerabilities in AndSoft's e-TMSEPSS 0.2%CVE-2024-35713MEDIUMWordPress Testimonial Carousel For Elementor plugin <= 10.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-81927LOWConcrete CMS before 9.5.3 is vulnerable to Stored XSS via SVG upload in "Reject" sanitization modeEPSS 0.2%CVE-2026-48838HIGHWordPress Post SMTP plugin <= 3.6.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-8392MEDIUMMitfahrgelegenheit <= 1.1.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via date ParameterEPSS 0.2%CVE-2026-81911MEDIUMConcrete CMS versions 9.0.0 to 9.5.2 is vulnerable to Stored XSS in Board Custom Slot save_template via Unescaped Summary DescriptionEPSS 0.2%CVE-2025-43488LOWPoly Clariti Manager - Multiple Security VulnerabilitiesEPSS 0.2%CVE-2024-58130HIGHIn app/Controller/Component/RestResponseComponent.php in MISP before 2.4.193, REST endpoints have a lack of sanitization for non-JSON responEPSS 0.2%CVE-2025-8776MEDIUMEpic Bootstrap Buttons <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via icol ParameterEPSS 0.2%CVE-2025-22817MEDIUMWordPress BP Profile Shortcodes Extra plugin <= 2.6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%