Falhas do tipo CWE-79

30.470 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-0209MEDIUMReflected Cross-Site Scripting (XSS) in WSO2 Identity Server Account Registration FlowEPSS 0.2%CVE-2025-11753MEDIUMMulti-language Responsive Portfolio WordPress <= 1.0 - Authenticated (Admin+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-9416MEDIUMModula Image Gallery <= 2.10.1 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via FancyBox 5 JavaScript LibraryEPSS 0.2%CVE-2026-33135CRITICALWeGIA has Reflected Cross-Site Scripting (XSS) in `novo_memorandoo.php` via `sccs` parameterEPSS 0.2%CVE-2025-23979HIGHWordPress Flashy theme <= 1.2.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-22678HIGHWordPress my white theme <= 2.0.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-37527MEDIUMIBM OpenPages with Watson cross-site scriptingEPSS 0.2%CVE-2026-3492MEDIUMGravity Forms <= 2.9.28.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Form TitleEPSS 0.2%CVE-2023-52292MEDIUMIBM Sterling File Gateway cross-site scriptingEPSS 0.2%CVE-2026-34561MEDIUMCI4MS: System Settings (Social Media Management) Full Platform Compromise & Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM XSSEPSS 0.2%CVE-2025-23981HIGHWordPress CarZine theme <= 1.4.6 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-12538MEDIUMFleet Manager <= 2.5.1 - Authenticated (Editor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-23986HIGHWordPress Tiki Time theme <= 1.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-2362MEDIUMWP Accessibility <= 2.3.1 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via 'alt' AttributeEPSS 0.2%CVE-2025-5565MEDIUMHide It <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-23983HIGHWordPress Tijaji theme <= 1.43 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-2597MEDIUMReflected Cross-Site Scripting (XSS) vulnerability in ITIUM 6050EPSS 0.2%CVE-2025-10006MEDIUMWPBakery Page Builder <= 8.6 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-0734MEDIUMWP Allowed Hosts <= 1.0.8 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'allowed-hosts' ParameterEPSS 0.2%CVE-2026-26192HIGHOpen WebUI vulnerable to Stored XSS via iFrame in citations modelEPSS 0.2%