Falhas do tipo CWE-79

30.494 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-48112HIGHWordPress Dot html,php,xml etc pages plugin <= 1.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-31614MEDIUMWordPress Terms Before Download plugin <= 1.0.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-26736MEDIUMWordPress MorningTime Lite theme <= 1.3.2 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-52426MEDIUMWordPress Linear plugin <= 2.8.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-31874MEDIUMWordPress WebberZone Snippetz plugin <= 2.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-4583MEDIUMSmash Balloon Instagram Feed <= 6.9.0 (Free) & <= 6.8.0 (Pro) - Authenticated (Contributor+) Stored Cross-Site Scripting via `data-plugin` AttributeEPSS 0.2%CVE-2025-46517MEDIUMWordPress Blog Manager WP plugin <= 1.0.5 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-46525MEDIUMWordPress WP Cookie Consent plugin <= 1.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-22689MEDIUMWordPress Forex Calculators plugin <= 1.3.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-43837HIGHWordPress Total Donations <= 3.0.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-46233MEDIUMWordPress Sirv plugin <= 7.5.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-5820MEDIUMZypento Blocks <= 1.0.6 - Authenticated (Author+) Stored Cross-Site Scripting via Table of Contents BlockEPSS 0.2%CVE-2025-31890MEDIUMWordPress Simple Map No Api plugin <= 1.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-48245HIGHWordPress Quick Contact Form plugin <= 8.2.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-23975MEDIUMWordPress Botnet Attack Blocker plugin <= 2.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-31621MEDIUMWordPress byBrick Accordion plugin <= 1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-33912MEDIUMOpenEMR has reflected XSS in ajax_download.php via reportID parameterEPSS 0.2%CVE-2025-47668MEDIUMWordPress CookieCode plugin <= 2.4.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-3984MEDIUMCampcodes Division Regional Athletic Meet Game Result Matrix System save_up_athlete.php cross site scriptingEPSS 0.2%CVE-2025-26738MEDIUMWordPress Quick Interest Slider plugin <= 3.1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%