Falhas do tipo CWE-79

30.527 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-3574MEDIUMExperto Dashboard for WooCommerce <= 1.0.4 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Navigation Font Size' SettingEPSS 0.2%CVE-2026-44667HIGHFaction: Stored XSS in Remediation Verification Attachment Filename Preview RenderingEPSS 0.2%CVE-2026-100522MEDIUMCotonti through 1.0.0 Reflected XSS via message.php lng parameterEPSS 0.2%CVE-2026-103481MEDIUMGwolle Guestbook <= 5.1.1 - Reflected Cross-Site Scripting via 'permalink' ParameterEPSS 0.2%CVE-2026-93880MEDIUMGreenshift <= 13.2.0 - Reflected Cross-Site Scripting via '{{GET:}}' Dynamic PlaceholderEPSS 0.2%CVE-2026-7464MEDIUMWP Google Maps Integration <= 1.2 - Reflected Cross-Site Scripting via 'page' ParameterEPSS 0.2%CVE-2026-4413MEDIUMIBM Concert Software Cross-Site ScriptingEPSS 0.2%CVE-2026-40137MEDIUMCross-Site Scripting (XSS) vulnerability in Business Server Pages Application (TAF_APPLAUNCHER)EPSS 0.2%CVE-2012-20005MEDIUMSocialFit WordPress Plugin 1.2.2 Reflected XSS via popup.php msg ParameterEPSS 0.2%CVE-2026-2266HIGHImproper neutralization of input vulnerability was identified in GitHub Enterprise Server that allowed cross-site scripting via task list content and enabled arbitrary HTML injectionEPSS 0.2%CVE-2021-47967MEDIUMPHP Timeclock 1.04 Multiple Cross-Site Scripting via ParametersEPSS 0.2%CVE-2026-27119MEDIUMSvelte affected by XSS in SSR `<option>` elementEPSS 0.2%CVE-2019-25737MEDIUMLive Chat Unlimited 2.8.3 Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-100179MEDIUMCalculated Fields Form <= 5.5.1.3 - Reflected DOM-Based Cross-Site Scripting via 'x' URL Parameter via setChoices()EPSS 0.2%CVE-2026-8707MEDIUMNS Product icon badge <= 1.2.4 - Reflected Cross-Site Scripting via PHP_SELFEPSS 0.2%CVE-2025-52774HIGHWordPress Infility Global plugin <= 2.15.06 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-4166MEDIUMWavlink WL-NU516U1 login.cgi sub_404F68 cross site scriptingEPSS 0.2%CVE-2026-109673HIGHFrappe ERPNext before 16.12.0 Stored XSS via Crafted Record NamesEPSS 0.2%CVE-2026-6704MEDIUMBlog Settings <= 1.0 - Reflected Cross-Site Scripting via 'page' ParameterEPSS 0.2%CVE-2026-2430MEDIUMAutoptimize <= 3.1.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Lazy-loaded Image AttributesEPSS 0.2%