Falhas do tipo CWE-79

30.473 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-96899MEDIUMOptima Express 8.6.0 - 8.7.5 - Author+ Stored XSS via faq_scriptEPSS 0.2%CVE-2026-89005MEDIUMWPeMatico RSS Feed Fetcher < 2.8.26 - Contributor+ Stored XSS via Word to CategoryEPSS 0.2%CVE-2026-35014MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via routes_nm.php ticket_id ParameterEPSS 0.2%CVE-2023-32340MEDIUMIBM Sterling B2B Integrator cross-site scriptingEPSS 0.2%CVE-2024-47090MEDIUMXSS via WYSIWYG editorEPSS 0.2%CVE-2025-60782MEDIUMPHP Education Manager v1.0 is vulnerable to Cross Site Scripting (XSS) stored Cross-Site Scripting (XSS) vulnerability in the topics managemEPSS 0.2%CVE-2024-13247MEDIUMCoffee - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-011EPSS 0.2%CVE-2024-49339MEDIUMIBM Financial Transaction Manager cross-site scriptingEPSS 0.2%CVE-2025-60157MEDIUMWordPress WP Ticket Customer Service Software & Support Ticket System Plugin <= 6.0.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-3743MEDIUMYiFang CMS D_singlePageGroup.php update cross site scriptingEPSS 0.2%CVE-2025-54168LOWQuLog CenterEPSS 0.2%CVE-2026-97319MEDIUMPowerPress < 11.17.2 - Contributor+ Stored XSS via Podcast Player BlockEPSS 0.2%CVE-2024-49785MEDIUMIBM watsonx.ai cross-site scriptingEPSS 0.2%CVE-2026-85415MEDIUMAudio Player Block 1.1.0 - 1.6.2 - Contributor+ Stored XSS via Audio Download URLEPSS 0.2%CVE-2025-57926MEDIUMWordPress Passster Plugin <= 4.2.18 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2024-47117MEDIUMIBM Carbon Design System cross-site scriptingEPSS 0.2%CVE-2026-87777MEDIUMHostinger Reach 1.0.6 - 1.8.2 - Contributor+ Stored XSS via formId Elementor Widget AttributeEPSS 0.2%CVE-2026-17005MEDIUMHorizontal Scrolling Announcements <= 2.6 - Contributor+ Stored XSS via Style FieldEPSS 0.2%CVE-2023-50309MEDIUMIBM Sterling B2B Integrator cross-site scriptingEPSS 0.2%CVE-2026-85001MEDIUMEmbedPress 4.4.9 - 4.6.6 - Contributor+ Stored XSS via Elementor Widget showTitle AttributeEPSS 0.2%