Falhas do tipo CWE-79

30.494 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-31873MEDIUMWordPress SheetDB plugin <= 1.3.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-52364MEDIUMIBM Cloud Pak for Business Automation cross-site scriptingEPSS 0.2%CVE-2025-31890MEDIUMWordPress Simple Map No Api plugin <= 1.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-52426MEDIUMWordPress Linear plugin <= 2.8.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-46235MEDIUMWordPress SKT Blocks – Gutenberg based Page Builder plugin <= 2.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-3984MEDIUMCampcodes Division Regional Athletic Meet Game Result Matrix System save_up_athlete.php cross site scriptingEPSS 0.2%CVE-2026-5767MEDIUMSlideShowPro SC <= 1.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'album' Shortcode AttributeEPSS 0.2%CVE-2025-31891MEDIUMWordPress Gosign – Posts Slider Block plugin <= 1.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-47668MEDIUMWordPress CookieCode plugin <= 2.4.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-31629MEDIUMWordPress Infusionsoft Web Form JavaScript plugin <= 1.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-2498MEDIUMWP Social Meta <= 1.0.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via SettingsEPSS 0.2%CVE-2025-22689MEDIUMWordPress Forex Calculators plugin <= 1.3.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-43837HIGHWordPress Total Donations <= 3.0.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-33912MEDIUMOpenEMR has reflected XSS in ajax_download.php via reportID parameterEPSS 0.2%CVE-2024-31913MEDIUMIBM Sterling B2B Integrator cross-site scriptingEPSS 0.2%CVE-2025-31892MEDIUMWordPress WP Crowdfunding plugin <= 2.1.15 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-5820MEDIUMZypento Blocks <= 1.0.6 - Authenticated (Author+) Stored Cross-Site Scripting via Table of Contents BlockEPSS 0.2%CVE-2026-36472MEDIUMCuteNews v.2.1.2 is vulnerable to Cross Site Scripting (XSS). Improper neutralization of the __referer value 2.0.1 allows a remote attacker EPSS 0.2%CVE-2025-23975MEDIUMWordPress Botnet Attack Blocker plugin <= 2.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-4595MEDIUMFastSpring <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%