Falhas do tipo CWE-79

30.495 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-55126MEDIUMHackerOne community member Dang Hung Vi (vidang04) has reported a stored XSS vulnerability involving the navigation box at the top of advertEPSS 0.2%CVE-2025-69236MEDIUMStored XSS in Raytha CMSEPSS 0.2%CVE-2025-57980MEDIUMWordPress Safety Exit Plugin <= 1.8.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-17001MEDIUMImport and export users and customers <= 2.4.5 - Authenticated (Custom+) Stored Cross-Site Scripting via User Meta Profile FieldsEPSS 0.2%CVE-2026-24838CRITICALDotNetNuke.Core Vulnerable to Stored XSS via Module TitleEPSS 0.2%CVE-2025-58665MEDIUMWordPress Form Generator for WordPress Plugin <= 1.52 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-48358MEDIUMWordPress Risk Free Cash On Delivery (COD) – WooCommerce plugin <= 1.0.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-58805MEDIUMWordPress Widgetize Pages Light Plugin <= 3.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-48365MEDIUMWordPress Custom Comment plugin <= 2.1.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-58645MEDIUMWordPress Gravitate Automated Tester Plugin <= 1.4.5 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-24601MEDIUMWordPress Penci Pay Writer plugin <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-29790MEDIUMContao allows cross-site scripting through SVG uploadsEPSS 0.2%CVE-2026-5783HIGHReflected XSS in Beyaz Computer's CityPLusEPSS 0.2%CVE-2025-58033MEDIUMWordPress Draft Plugin <= 3.0.9 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-40296MEDIUMPhpSpreadsheet vulnerable to XSS in HTML writer via custom number format codesEPSS 0.2%CVE-2023-36337MEDIUMA reflected cross-site scripting (XSS) vulnerability in the component /index.php/cuzh4 of PHP Inventory Management System 1 allows attackersEPSS 0.2%CVE-2026-75917CRITICALSiYuan before v3.7.4 XSS-to-RCE via pathName.tsEPSS 0.2%CVE-2025-58658MEDIUMWordPress Proof Factor – Social Proof Notifications Plugin <= 1.0.5 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-43823MEDIUMCross-site scripting (XSS) vulnerability in the Commerce Search Result widget in Liferay Portal 7.4.0 through 7.4.3.111, and Liferay DXP 202EPSS 0.2%CVE-2025-55203MEDIUMPlane Stored XSS in Add Work Item FunctionalityEPSS 0.2%