Falhas do tipo CWE-79

30.495 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-84781MEDIUMWordPress Gallery PhotoBlocks plugin <= 1.3.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-2367MEDIUMSecure Copy Content Protection and Content Locking <= 5.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributeEPSS 0.2%CVE-2026-65522MEDIUMWordPress Manual - Documentation, Knowledge Base & Education WordPress theme theme <= 7.5.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66433MEDIUMWordPress Location Weather plugin <= 3.0.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-94168MEDIUMWordPress Premium Addons for Elementor plugin <= 4.11.105 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-13286MEDIUMSVG Embed - Moderately critical - Cross site scripting - SA-CONTRIB-2024-050EPSS 0.2%CVE-2025-66686MEDIUMA stored Cross-Site Scripting (XSS) vulnerability exists in Perch CMS version 3.2. An authenticated attacker with administrative privileges EPSS 0.2%CVE-2026-57737MEDIUMWordPress Shortcodes and extra features for Phlox theme plugin <= 2.17.22 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-40745MEDIUMExtension - tassos.gr - Reflected Cross site scripting vulnerability in Convert Forms component for Joomla < 4.4.8EPSS 0.2%CVE-2026-57402MEDIUMWordPress Flexible Refund and Return Order for WooCommerce plugin <= 1.0.51 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66644MEDIUMWordPress Typing Effect plugin <= 1.3.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57365MEDIUMWordPress reCAPTCHA (v2 & v3) for Asgaros Forum plugin <= 1.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-1823MEDIUMConsensus Embed <= 1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'src' Shortcode AttributeEPSS 0.2%CVE-2026-59513MEDIUMWordPress Masteriyo - LMS plugin <= 2.3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-28182MEDIUMWordPress AcyMailing SMTP Newsletter plugin <= 10.11.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57617MEDIUMWordPress SeedProd Pro plugin < 6.19.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-28178MEDIUMWordPress Powerkit plugin <= 3.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57684MEDIUMWordPress TheFox theme <= 3.9.70 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66646MEDIUMWordPress WP Tab Widget plugin <= 1.2.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-54865MEDIUMWordPress Podamibe Custom User Gravatar plugin <= 1.0.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%