Falhas do tipo CWE-79

30.495 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-13527MEDIUMPhilantro – Donations and Donor Management <= 5.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via donate ShortcodeEPSS 0.2%CVE-2025-66403MEDIUMFileRise Vulnerable to Stored XSS via SVG UploadEPSS 0.2%CVE-2026-16273MEDIUMNarrative Publisher <= 1.0.7 - Contributor+ Stored XSS via narrative_post_script Post MetaEPSS 0.2%CVE-2026-21483MEDIUMlistmonk Vulnerable to Stored XSS Leading to Admin Account TakeoverEPSS 0.2%CVE-2024-45094MEDIUMIBM DS8900F and DS8A00 Hardware Management Console (HMC) cross-site scriptingEPSS 0.2%CVE-2024-13400MEDIUMKona Gallery Block <= 1.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-36906MEDIUMCross Site Scripting vulnerability in iotgateway v.3.0.1 allows a remote attacker to execute arbitrary code via the Log Record FunctionEPSS 0.2%CVE-2026-6793MEDIUMStored XSS in Bifra Engineering's Q-smart NexT PollEPSS 0.2%CVE-2026-119054MEDIUMMultiple Pages Generator by Themeisle before 4.2.5 Stored XSS via Shortcode base-urlEPSS 0.2%CVE-2025-66648HIGH`vega-functions` vulnerable to Cross-site Scripting via `setdata` functionEPSS 0.2%CVE-2026-0580MEDIUMSourceCodester API Key Manager App Import Key cross site scriptingEPSS 0.2%CVE-2026-16066MEDIUMWelcart e-Commerce < 2.11.34 - Author+ Stored XSS via Product NameEPSS 0.2%CVE-2026-8309MEDIUMReflected XSS in Armiya Technologies' Access Control SystemEPSS 0.2%CVE-2026-119152MEDIUMAppointment Booking Plugin <= 5.7.6 - Unauthenticated Stored Cross-Site Scripting via Customer Email FieldEPSS 0.2%CVE-2026-34396MEDIUMAVideo: Stored XSS via Unescaped Plugin Configuration Values in Admin PanelEPSS 0.2%CVE-2026-0512MEDIUMCross-Site Scripting (XSS) vulnerability in SAP Supplier Relationship Management (SICF Handler in SRM Catalog)EPSS 0.2%CVE-2026-15386MEDIUMMeow Gallery < 5.5.2 - Author+ Stored XSS via Attachment Alt-TextEPSS 0.2%CVE-2026-48149HIGHBudibase: Stored XSS in Text component: BASIC users execute JS in admin session via MarkdownViewer innerHTML + CDN+srcdoc CSP bypassEPSS 0.2%CVE-2026-64795MEDIUMJoomla Extension - regularlabs.com - XSS vectors in tag-provided inputs in various Regular Labs extensionsEPSS 0.2%CVE-2026-14230MEDIUMECS < 4.3.8 - Contributor+ Stored XSS via Dynamic Repeater BindingsEPSS 0.2%