Falhas do tipo CWE-79

30.494 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-14192MEDIUMStored XSS in Bilin Software's HUMANIST Digital Human ResourcesEPSS 0.2%CVE-2022-26961MEDIUMItaltel NetMatch-S 5.0.0-20200703 allows Multiple Stored XSS under NP_IBCF-NATUP-01/NMSCI-WebGui/backup_restore.jsp and NP_IBCF-MIBER-03/NMSEPSS 0.2%CVE-2026-19447MEDIUMStored XSS in Fileorbis Informatics's FileOrbisEPSS 0.2%CVE-2026-111601MEDIUMHippoo Mobile App for WooCommerce <= 1.12.0 - Reflected Cross-Site Scripting via 'token_id' ParameterEPSS 0.2%CVE-2026-15234MEDIUMCodeless Page Builder <= 1.1.4 - Contributor+ Stored XSS via Shortcode AttributeEPSS 0.2%CVE-2026-14864MEDIUMJetEngine < 3.8.12 - Contributor+ Stored XSS via jet_engine ShortcodeEPSS 0.2%CVE-2026-12683MEDIUMStored XSS Yönetim panel in Ankaref's LIBRID/LIBREFEPSS 0.2%CVE-2026-36392MEDIUMFairSketch Rise CRM Version 3.9.6 is vulnerable to Cross Site Scripting (XSS). An authenticated administrator can inject arbitrary JavaScripEPSS 0.2%CVE-2026-4378MEDIUMStored XSS in Akıllı Ticaret's E-Commerce PackEPSS 0.2%CVE-2024-54348MEDIUMWordPress Brandy theme <= 1.1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-16558MEDIUMYMC Filter < 3.12.8 - Contributor+ Stored XSS via Layout Builder SchemaEPSS 0.2%CVE-2026-84677MEDIUMJenkins update-center2 3.18.3 and earlier does not escape plugin-provided values (plugin names, descriptions, and version metadata) on plugiEPSS 0.2%CVE-2026-7884MEDIUMIBM Cognos Analytics versions 12.0.4 and 12.1.3 is affected by security vulnerabilitiesEPSS 0.2%CVE-2026-70441MEDIUMJenkins Summary Display Plugin 1.15 and earlier does not escape the job name in a JavaScript context in build report pages, resulting in a sEPSS 0.2%CVE-2026-16942MEDIUMWP Custom HTML Pages <= 0.6.2 - Author+ Stored XSSEPSS 0.2%CVE-2026-17010MEDIUMSaitama Addon Pack <= 1.0.8 - Contributor+ Stored XSS via Post MetaEPSS 0.2%CVE-2026-1399MEDIUMWP Google Ad Manager Plugin <= 1.1.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via Admin SettingsEPSS 0.2%CVE-2026-19057MEDIUMStored XSS in Gastromenum's Gastromenum Ticket and QR Menu SystemEPSS 0.2%CVE-2026-6283MEDIUMStored XSS in DivvyDrive Information Technologies' DivvyDriveEPSS 0.2%CVE-2026-5005MEDIUMStored XSS in Twiser's OKRs & GoalsEPSS 0.2%