Falhas do tipo CWE-79

30.494 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-2288MEDIUMmyLinksDump <= 1.6 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'link_title' ParameterEPSS 0.2%CVE-2025-70519MEDIUMThe device log component of Fanvil x7a firmware version 2.6.0.1182 does not properly sanitize or encode reflected user supplied data. The laEPSS 0.2%CVE-2025-12869MEDIUMaEnrich｜eHRD - Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-110033MEDIUMSalon Booking System < 10.31.11 - Salon Staff+ Stored XSS and SSRF via Salon REST 'image_url'EPSS 0.2%CVE-2024-13238MEDIUMTypogrify - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-002EPSS 0.2%CVE-2026-35455HIGHimmich has Stored XSS via OCR Text in 360° Panorama ViewerEPSS 0.2%CVE-2024-49339MEDIUMIBM Financial Transaction Manager cross-site scriptingEPSS 0.2%CVE-2026-3743MEDIUMYiFang CMS D_singlePageGroup.php update cross site scriptingEPSS 0.2%CVE-2026-97319MEDIUMPowerPress < 11.17.2 - Contributor+ Stored XSS via Podcast Player BlockEPSS 0.2%CVE-2026-45144HIGHChamilo LMS: Stored XSS in public user-profile fieldsEPSS 0.2%CVE-2026-85415MEDIUMAudio Player Block 1.1.0 - 1.6.2 - Contributor+ Stored XSS via Audio Download URLEPSS 0.2%CVE-2025-66310MEDIUMGrav vulnerable to Cross-Site Scripting (XSS) Stored endpoint `/admin/pages/[page]` parameter `data[header][template]` in Advanced TabEPSS 0.2%CVE-2025-60782MEDIUMPHP Education Manager v1.0 is vulnerable to Cross Site Scripting (XSS) stored Cross-Site Scripting (XSS) vulnerability in the topics managemEPSS 0.2%CVE-2026-89005MEDIUMWPeMatico RSS Feed Fetcher < 2.8.26 - Contributor+ Stored XSS via Word to CategoryEPSS 0.2%CVE-2026-35014MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via routes_nm.php ticket_id ParameterEPSS 0.2%CVE-2024-13247MEDIUMCoffee - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-011EPSS 0.2%CVE-2025-54168LOWQuLog CenterEPSS 0.2%CVE-2026-96895MEDIUMWP YouTube Lyte < 1.7.31 - Contributor+ Stored XSS via Embed Block AttributesEPSS 0.2%CVE-2026-96899MEDIUMOptima Express 8.6.0 - 8.7.5 - Author+ Stored XSS via faq_scriptEPSS 0.2%CVE-2024-49785MEDIUMIBM watsonx.ai cross-site scriptingEPSS 0.2%