Falhas do tipo CWE-79

30.519 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-31354MEDIUMMultiple authenticated stored cross-site scripting (XSS) vulnerabilities in the Permissions module of Feehi CMS v2.1.1 allows attackers to eEPSS 0.2%CVE-2025-69054HIGHWordPress Super Logos Showcase plugin <= 2.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-64203HIGHWordPress Mailster plugin < 4.1.14 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-67927HIGHWordPress Link Whisper Free plugin <= 0.8.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-2499MEDIUMCustom Logo <= 2.2 - Authenticated (Administrator+) Stored Cross-Site Scripting via Logo Path SettingEPSS 0.2%CVE-2026-39333HIGHChurchCRM has Reflected XSS in DateStart/DateEnd parameters in FindFundRaiser.phpEPSS 0.2%CVE-2025-26778MEDIUMWordPress Gallery Custom Links Plugin <= 2.2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-64189HIGHWordPress XStore Core plugin < 5.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-67533HIGHWordPress Themify Portfolio Post plugin <= 1.3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-64191HIGHWordPress XStore theme < 9.6.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-30919HIGHfacileManager Affected by Stored Cross-Site Scripting (XSS)EPSS 0.2%CVE-2025-27002HIGHWordPress CountDown With Image or Video Background plugin <= 1.5 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-111088MEDIUMStored XSS in the VPN logs monitorEPSS 0.2%CVE-2025-67918HIGHWordPress Woffice theme <= 5.4.30 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-31352MEDIUMAn authenticated stored cross-site scripting (XSS) vulnerability in the Role Management module of Feehi CMS v2.1.1 allows attackers to execuEPSS 0.2%CVE-2025-64207HIGHWordPress Jannah theme <= 7.6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-68858HIGHWordPress wpCAS plugin <= 1.07 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-34236MEDIUMAdvantech WebAccess/VPN < 1.1.5 Stored XSS via NetworksController.addNetworkAction()EPSS 0.2%CVE-2026-84095HIGHWP Review Slider Pro < 12.7.12 - Subscriber+ Stored XSS via Review ImportEPSS 0.2%CVE-2026-1071MEDIUMCarta Online <= 2.13.0 - Authenticated (Administrator+) Stored Cross-Site Scripting via Plugin SettingsEPSS 0.2%