Falhas do tipo CWE-79

30.495 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-15248MEDIUMsunhailin12315 product-review 商品评价系统 Write a Review cross site scriptingEPSS 0.2%CVE-2026-6127MEDIUMElementor Website Builder <= 4.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via REST APIEPSS 0.2%CVE-2025-12020MEDIUMDouble the Donation <= 3.0.0 - Authenticated (Admin+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-35322MEDIUMMyNET up to v26.08 was discovered to contain a reflected cross-site scripting (XSS) vulnerability via the ficheiro parameter.EPSS 0.2%CVE-2024-9526HIGHStored XSS in Kubeflow Pipeline ViewEPSS 0.2%CVE-2025-58223MEDIUMWordPress VoucherPress Plugin <= 1.5.7 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58256MEDIUMWordPress DOAJ Export Plugin <= 1.0.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-24526MEDIUMWordPress Email Inquiry & Cart Options for WooCommerce plugin <= 3.4.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-48324MEDIUMWordPress tli.tl auto Twitter poster plugin <= 3.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-43811MEDIUMMultiple stored cross-site scripting (XSS) vulnerability in the related asset selector in Liferay Portal 7.4.3.50 through 7.4.3.111, and LifEPSS 0.2%CVE-2025-58832MEDIUMWordPress Search by Google Plugin <= 1.9 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-114570MEDIUMWordPress Core <= 7.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Quick EditEPSS 0.2%CVE-2025-58791MEDIUMWordPress SEO Auto Linker Plugin <= 1.5.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58820MEDIUMWordPress Carousel Ultimate Plugin <= 1.8 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-6040MEDIUMEasy Flashcards <= 0.1 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-60141MEDIUMWordPress The Tribal Plugin <= 1.3.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-58825MEDIUMWordPress Comment Form WP – Customize Default Comment Form plugin <= 2.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-58647MEDIUMWordPress Simple Restaurant Menu Plugin <= 1.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-93405MEDIUMMailspring: Stored XSS in attachment quick preview (unsanitized Markdown/DOCX/XLSX conversion)EPSS 0.2%CVE-2026-33395MEDIUMDiscourse has stored click‑based XSS via Graphviz SVG javascript: linksEPSS 0.2%