Falhas do tipo CWE-79

30.473 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-52462MEDIUMCross-site scripting vulnerability exists in Active! mail 6 BuildInfo: 6.30.01004145 to 6.60.06008562. If this vulnerability is exploited, aEPSS 0.2%CVE-2026-12750MEDIUMMultiple security vulnerabilities are addressed with IBM Cloud Pak for Business Automation iFixes for August 2026.EPSS 0.2%CVE-2025-4415MEDIUMPiwik PRO - Moderately critical - Cross Site Scripting - SA-CONTRIB-2025-058EPSS 0.2%CVE-2025-11769MEDIUMWordPress Content Flipper <= 0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-12672MEDIUMFlickr Show <= 1.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-26154MEDIUMETIC Telecom Remote Access Server (RAS) Cross-site ScriptingEPSS 0.2%CVE-2025-12754MEDIUMGeopost <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-12644MEDIUMNonaki – Drag and Drop Email Template builder and Newsletter plugin for WordPress <= 1.0.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom FieldsEPSS 0.2%CVE-2025-12666MEDIUMGoogle Drive upload and download link <= 1.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-57763MEDIUMCross-Site Scripting (XSS) Reflected in 'insere_despacho.php' parameter 'sccs'EPSS 0.2%CVE-2025-14387MEDIUMLearnPress – WordPress LMS Plugin <= 4.3.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via get_profile_socialEPSS 0.2%CVE-2025-12663MEDIUMJeba Cute forkit <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-33128MEDIUMIBM Engineering Lifecycle Management - Engineering Workflow Management is impacted by vulnerabilities HTML / XSS Injection observedEPSS 0.2%CVE-2026-103426HIGHRelevanssi Premium <= 2.31.4 - Unauthenticated Stored Cross-Site Scripting via '_rt' ParameterEPSS 0.2%CVE-2025-12658MEDIUMPreload Current Images <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2026-0559MEDIUMMasterStudy LMS WordPress Plugin – for Online Courses and Education <= 3.7.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'stm_lms_courses_grid_display' ShortcodeEPSS 0.2%CVE-2025-11807MEDIUMMixlr Shortcode <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-11502MEDIUMSchema & Structured Data for WP & AMP <= 1.51 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-25847HIGHIn JetBrains PyCharm before 2025.3.2 a DOM-based XSS on Jupyter viewer page was possibleEPSS 0.2%CVE-2025-11819MEDIUMWP-Thumbnail <= 1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%