Falhas do tipo CWE-79

30.495 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-65514MEDIUMWordPress Appointment Hour Booking plugin <= 1.5.86 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66467MEDIUMWordPress FluentCommunity plugin <= 2.7.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-27086MEDIUMWordPress WoodMart theme < 8.3.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66645MEDIUMWordPress Table Of Contents Block plugin <= 1.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-68074MEDIUMWordPress Image Carousel plugin <= 1.0.0.41 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66573MEDIUMWordPress JetTabs plugin <= 2.3.3.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-68565MEDIUMWordPress GeoDirectory plugin <= 2.8.172 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57629MEDIUMWordPress StatCounter plugin <= 2.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-43785MEDIUMStored cross-site scripting (XSS) vulnerability in Liferay Portal 7.4.3.45 through 7.4.3.128, and Liferay DXP 2024 Q2.0 through 2024.Q2.9, 2EPSS 0.2%CVE-2024-13287MEDIUMViews SVG Animation - Moderately critical - Cross Site Scripting - SA-CONTRIB-2024-051EPSS 0.2%CVE-2026-65528MEDIUMWordPress BSK PDF Manager plugin <= 3.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-43778MEDIUMA Stored cross-site scripting vulnerability in the Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q2.0 through 2025.Q2.11, 20EPSS 0.2%CVE-2026-66617MEDIUMWordPress PublishPress Series plugin <= 3.1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66577MEDIUMWordPress JetSearch plugin <= 3.6.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-40632LOWCross-site scripting (XSS) vulnerability in IceWarp Mail ServerEPSS 0.2%CVE-2026-65519MEDIUMWordPress Photo Gallery plugin <= 2.7.7.29 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-102295MEDIUMQuay: quay: dom-based cross-site scripting via oauth local callback format=json parameterEPSS 0.2%CVE-2026-57693MEDIUMWordPress Ad Inserter plugin <= 2.8.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66448MEDIUMWordPress Gallery PhotoBlocks plugin <= 1.3.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-0680MEDIUMReal Post Slider Lite <= 2.4 - Authenticated (Administrator+) Stored Cross-Site Scripting via SettingsEPSS 0.2%