Falhas do tipo CWE-79

30.495 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-0680MEDIUMReal Post Slider Lite <= 2.4 - Authenticated (Administrator+) Stored Cross-Site Scripting via SettingsEPSS 0.2%CVE-2026-123546MEDIUMOpenAM before 16.1.4 Open Redirect and XSS via goto and gotoOnFailEPSS 0.2%CVE-2026-94461MEDIUMWordPress Ditty plugin <= 3.1.69 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66687MEDIUMWordPress WpBookingly plugin <= 1.3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-65482MEDIUMWordPress LA-Studio Element Kit for Elementor plugin <= 1.6.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-65449MEDIUMWordPress MapSVG plugin <= 8.14.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57618MEDIUMWordPress Neve PRO theme <= 3.1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57330MEDIUMWordPress MasterStudy LMS plugin <= 3.7.27 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57651MEDIUMWordPress Ghost Kit plugin <= 3.6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-57420MEDIUMWordPress Author Box WP Lens plugin <= 2.1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66460MEDIUMWordPress AfterShip Tracking plugin <= 1.18.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66576MEDIUMWordPress JetBlocks For Elementor plugin <= 1.5.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-65470MEDIUMWordPress Fluent Support plugin <= 2.3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-2593MEDIUMGreenshift – animation and page builder blocks <= 12.8.5 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-94118MEDIUMWordPress Premium Blocks – Gutenberg Blocks for WordPress plugin <= 2.3.17 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-65561MEDIUMWordPress WordPress Social Login and Register plugin <= 7.8.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-49031HIGHWordPress SMu Manual DoFollow plugin <= 1.8.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-78294MEDIUMWordPress Geo Mashup plugin <= 1.13.21 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-27403MEDIUMWordPress Hubbub Lite plugin <= 1.36.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-1805MEDIUMDA Media GigList <= 1.9.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'list_title' Shortcode AttributeEPSS 0.2%