Falhas do tipo CWE-79

30.469 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-43794MEDIUMStored cross-site scripting (XSS) vulnerability in Liferay Portal 7.4.0 through 7.4.3.111, and older unsupported versions, and Liferay DXP 2EPSS 0.2%CVE-2026-59663MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2026-96360LOWWebform - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-154EPSS 0.2%CVE-2018-25248MEDIUMMyBB Downloads Plugin 2.0.3 Persistent XSS via downloads.phpEPSS 0.2%CVE-2025-5534MEDIUMESV Bible Shortcode for WordPress <= 1.0.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-12820MEDIUMMK Google Directions <= 3.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-27612MEDIUMRepostat Vulnerable to Reflected Cross-Site Scripting (XSS) via repo prop in RepoCardEPSS 0.2%CVE-2026-49264MEDIUMOAuthLib: Unsafe JSONP callback injection in RevocationEndpoint allows arbitrary JavaScript response generationEPSS 0.2%CVE-2025-5016MEDIUMRelevanssi <= 4.24.5 (Free) and <= 2.27.6 (Premium) - Unauthenticated Stored Cross-Site Scripting via Excerpt HighlightsEPSS 0.2%CVE-2025-0839MEDIUMZoomSounds <= 6.91 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-62499MEDIUMMovable Type contains a stored cross-site scripting vulnerability in Edit CategorySet of ContentType page. If crafted input is stored by an EPSS 0.2%CVE-2026-59668MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2024-51509MEDIUMTiki through 27.0 allows users who have certain permissions to insert a "Modules" (aka tiki-admin_modules.php) stored XSS payload in the NamEPSS 0.2%CVE-2025-67824MEDIUMThe WorklogPRO - Jira Timesheets plugin in the Jira Data Center before 4.24.2-jira9, 4.24.2-jira10 and 4.24.2-jira11 allows attackers to injEPSS 0.2%CVE-2026-103292HIGHGhost 0.5.3 before 6.50.0 Cross-Site Scripting via ghost_headEPSS 0.2%CVE-2025-55291HIGHShaarli allows reflected XSS via searchtags parameterEPSS 0.2%CVE-2025-13747MEDIUMNewStatPress <= 1.4.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-96535MEDIUMCross-Site Scripting in the YouMind web applicationEPSS 0.2%CVE-2026-95662MEDIUMMultiple vulnerabilities in the Repasat applicationEPSS 0.2%CVE-2025-63534HIGHA cross-site scripting (XSS) vulnerability exists in the Blood Bank Management System 1.0 within the login.php component. The application faEPSS 0.2%