Falhas do tipo CWE-79

30.473 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-89006MEDIUMWPeMatico RSS Feed Fetcher < 2.8.27 - Contributor+ Stored XSS via Feed ImportEPSS 0.2%CVE-2026-74921MEDIUMDocument Gallery 4.0 - 5.1.1 - Contributor+ Stored XSS via Gallery Shortcode AttributesEPSS 0.2%CVE-2026-96895MEDIUMWP YouTube Lyte < 1.7.31 - Contributor+ Stored XSS via Embed Block AttributesEPSS 0.2%CVE-2025-22383MEDIUMAn issue was discovered in Optimizely Configured Commerce before 5.2.2408. A medium-severity input validation issue exists in the Commerce BEPSS 0.2%CVE-2026-3604MEDIUMWP SEO Structured Data Schema <= 2.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via '_kcseo_ative_tab' ParameterEPSS 0.2%CVE-2026-45144HIGHChamilo LMS: Stored XSS in public user-profile fieldsEPSS 0.2%CVE-2026-35455HIGHimmich has Stored XSS via OCR Text in 360° Panorama ViewerEPSS 0.2%CVE-2025-66311MEDIUMGrav vulnerable to Cross-Site Scripting (XSS) Stored endpoint `/admin/pages/[page]` in Multiples parametersEPSS 0.2%CVE-2026-93647CRITICALZimbra Collaboration Suite Classic Web Client Stored Cross-Site Scripting via Crafted Calendar COUNTER Message From AddressEPSS 0.2%CVE-2026-91022MEDIUMMotors < 1.4.124 - Listing Manager+ Stored XSS via Badge ColorEPSS 0.2%CVE-2024-13238MEDIUMTypogrify - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-002EPSS 0.2%CVE-2026-3741MEDIUMYiFang CMS D_friendLink.php update cross site scriptingEPSS 0.2%CVE-2026-24955HIGHWordPress Whizz Plugins plugin <= 1.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-54172MEDIUMStored Cross-Site Scripting in QuickCMSEPSS 0.2%CVE-2026-113355MEDIUMChatwoot before 4.14.0 Stored XSS via Help Center Video Embed LinksEPSS 0.2%CVE-2026-24426MEDIUMTenda AC7 Reflected XSS via Web Interface Output EncodingEPSS 0.2%CVE-2025-66310MEDIUMGrav vulnerable to Cross-Site Scripting (XSS) Stored endpoint `/admin/pages/[page]` parameter `data[header][template]` in Advanced TabEPSS 0.2%CVE-2026-110033MEDIUMSalon Booking System < 10.31.11 - Salon Staff+ Stored XSS and SSRF via Salon REST 'image_url'EPSS 0.2%CVE-2026-94239MEDIUMLoco Translate < 2.8.9 - Translator+ Stored XSS via Bundle ConfigurationEPSS 0.2%CVE-2026-88782MEDIUMKubio AI Page Builder < 2.9.3 - Contributor+ Stored XSS via Image Gallery Item URL AttributeEPSS 0.2%