Falhas do tipo CWE-79

30.525 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-18311MEDIUMCVE-2026-18311EPSS 0.2%CVE-2025-36239MEDIUMIBM Storage TS4500 Library cross-site scriptingEPSS 0.2%CVE-2025-0656MEDIUMIBM Concert Software cross-site scriptingEPSS 0.2%CVE-2026-57958MEDIUMMixpost 2.6.0 - Reflected XSS via OAuth Callback Error ParameterEPSS 0.2%CVE-2025-52335MEDIUMEyouCMS 1.7.3 is vulnerale to Cross Site Scripting (XSS) in index.php, which can be exploited to obtain sensitive information.EPSS 0.2%CVE-2025-5770MEDIUMReflected Cross-Site Scripting (XSS) in Authentication Endpoints of Multiple WSO2 ProductsEPSS 0.2%CVE-2025-6747MEDIUMAvada (Fusion) Builder <= 3.12.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2026-42554MEDIUMFiber: XSS in AutoFormat Content NegotiationEPSS 0.2%CVE-2026-87949LOWSAML SSO - Service Provider - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-147EPSS 0.2%CVE-2025-4588MEDIUM360 Photo Spheres <= 1.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-7653MEDIUMEPay.bg Payments <= 0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-48217MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via delete_module.php Multiple POST ParametersEPSS 0.2%CVE-2026-48219MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via ics202.php frm_add_str ParameterEPSS 0.2%CVE-2025-13937MEDIUMWatchGuard Firebox Stored Cross-Site-Scripting (XSS) Vulnerability in ConnectWise Technology Integration ConfigurationEPSS 0.2%CVE-2026-104465MEDIUMYesWiki before 4.6.7 Reflected XSS via field Parameter in mail HandlerEPSS 0.2%CVE-2026-24833HIGHDotNetNuke.Core Vulnerable to Stored XSS in Module DescriptionEPSS 0.2%CVE-2026-48222MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via ics213.php frm_add_str ParameterEPSS 0.2%CVE-2025-13939MEDIUMWatchGuard Firebox Stored Cross-Site-Scripting (XSS) Vulnerability in Gateway Wireless ControllerEPSS 0.2%CVE-2026-48225MEDIUMOpen ISES Tickets < 3.44.2 Reflected XSS via landb.php _type ParameterEPSS 0.2%CVE-2025-48080MEDIUMWordPress Uncanny Toolkit for LearnDash plugin <= 3.7.0.2 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%