Falhas do tipo CWE-79

30.494 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-14893MEDIUMIndieWeb <= 4.0.5 - Authenticated (Author+) Stored Cross-Site Scripting via 'Telephone' ParameterEPSS 0.2%CVE-2025-31884MEDIUMWordPress Norse Rune Oracle Plugin plugin <= 1.4.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-5292MEDIUMElement Pack Addons for Elementor – Best Elementor addons with Ready Templates, Blocks, Widgets and WooCommerce Builder <= 5.11.2 - Authenticated (Contributor+) DOM-Based Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-30982MEDIUMWordPress MyBookProgress by Stormhill Media plugin <= 1.0.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-31620MEDIUMWordPress CoverManager plugin <= 0.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-5748MEDIUMText Snippets <= 0.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'w' Shortcode AttributeEPSS 0.2%CVE-2026-1319MEDIUMRobin Image Optimizer <= 2.0.2 - Authenticated (Author+) Stored Cross-Site Scripting via Image Alternative Text FieldEPSS 0.2%CVE-2025-12159MEDIUMBold Page Builder <= 5.4.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2025-58674MEDIUMWordPress <= 6.8.2 - (Author+) Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-31897MEDIUMWordPress Arrow Custom Feed for Twitter plugin <= 1.5.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-46533MEDIUMWordPress Landing pages and Domain aliases for WordPress plugin <= 0.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-31624MEDIUMWordPress Processing Projects plugin <= 1.0.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-46240MEDIUMWordPress Simple Download Counter plugin <= 2.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-93981LOWhono/jsx before 4.13.7 Cross-Site Scripting via Unescaped StringsEPSS 0.2%CVE-2026-3534MEDIUMAstra <= 4.12.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post MetaEPSS 0.2%CVE-2025-43839HIGHWordPress BP Messages Tool plugin <= 2.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-92974MEDIUMPhoto Gallery by 10Web <= 1.8.46 - Reflected Cross-Site Scripting via 'thumb_url' ParameterEPSS 0.2%CVE-2024-47103MEDIUMIBM Sterling B2B Integrator cross-site scriptingEPSS 0.2%CVE-2025-26734MEDIUMWordPress Hester plugin <= 1.1.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-46239MEDIUMWordPress Theme Switcha plugin <= 3.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%