Falhas do tipo CWE-79

30.355 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-12923LOWPhoto StationEPSS 0.2%CVE-2025-57203MEDIUMMagicProject AI version 9.1 is affected by a Cross-Site Scripting (XSS) vulnerability within the chatbot generation feature available to autEPSS 0.2%CVE-2024-37457MEDIUMWordPress Ultimate Blocks – WordPress Blocks Plugin plugin <= 3.1.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-64501HIGHProsemirrorToHtml: Cross-Site Scripting vulnerability through unescaped HTML attribute valuesEPSS 0.2%CVE-2024-35713MEDIUMWordPress Testimonial Carousel For Elementor plugin <= 10.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-58130HIGHIn app/Controller/Component/RestResponseComponent.php in MISP before 2.4.193, REST endpoints have a lack of sanitization for non-JSON responEPSS 0.2%CVE-2026-81917MEDIUMConcrete CMS below 9.5.3 is vulnerable to Stored XSS in the Document Library block file description and tagsEPSS 0.2%CVE-2024-35703MEDIUMWordPress Sina Extension for Elementor plugin <= 3.5.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-8392MEDIUMMitfahrgelegenheit <= 1.1.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via date ParameterEPSS 0.2%CVE-2026-81896HIGHConcrete CMS below version 9.5.3 is vulnerable to Stored XSS in Concrete CMS Form Submissions Report via Unescaped Question LabelEPSS 0.2%CVE-2025-8149MEDIUMaThemes Addons for Elementor Lite <= 1.1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown WidgetEPSS 0.2%CVE-2025-8776MEDIUMEpic Bootstrap Buttons <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via icol ParameterEPSS 0.2%CVE-2025-14149MEDIUMXpro Addons — 140+ Widgets for Elementor <= 1.4.24 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image Scroller Widget box linkEPSS 0.2%CVE-2026-82795MEDIUMSolarView Compact contains a cross-site scripting vulnerability in Schedule Settings and Mail Send Setting. If this vulnerability is exploitEPSS 0.2%CVE-2024-13294MEDIUMPOST File - Critical - Cross Site Scripting, Arbitrary PHP code execution - SA-CONTRIB-2024-060EPSS 0.2%CVE-2025-43488LOWPoly Clariti Manager - Multiple Security VulnerabilitiesEPSS 0.2%CVE-2025-11197MEDIUMDraft List <= 2.6.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-39594HIGHWordPress Arigato Autoresponder and Newsletter plugin <= 2.7.2.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-39567HIGHWordPress Web Directory Free plugin <= 1.7.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-37244MEDIUMWordPress Ninja Beaver Add-ons for Beaver Builder plugin <= 2.4.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%