Falhas do tipo CWE-79

30.537 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-10246MEDIUMSourceCodester Pharmacy Sales and Inventory System main create_medicine_presentation cross site scriptingEPSS 0.2%CVE-2025-11800MEDIUMSurbma | MiniCRM Shortcode <= 2.0 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-25362MEDIUMWordPress FooGallery plugin <= 3.1.11 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-10228MEDIUMraisulislamg4 student_management_system_by_php admission_form_check.php cross site scriptingEPSS 0.2%CVE-2026-9629MEDIUMCanvas <= 2.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'tag' Block AttributeEPSS 0.2%CVE-2026-27251MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2026-27257MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2025-11768MEDIUMIslamic Phrases <= 2.12.2015 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-12715MEDIUMCanadian Nutrition Facts Label <= 3.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Nutrition Label Custom Post TypeEPSS 0.2%CVE-2026-24903MEDIUMOrcaStatLLM Researcher Stored Cross-Site Scripting (XSS) via Log Message Injection in Session PageEPSS 0.2%CVE-2026-112096MEDIUMSourceCodester Inventory System Purchase Records transactions_handler.php save_purchase cross site scriptingEPSS 0.2%CVE-2026-16495MEDIUMCountdown Timer – Widget Countdown <= 3.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'redirect_url' Shortcode AttributeEPSS 0.2%CVE-2026-116004MEDIUMonyx-dot-app Onyx PreviewTab.tsx cross site scriptingEPSS 0.2%CVE-2026-27232MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2026-27223MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2026-27241MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2025-12691MEDIUMPhotonic Gallery & Lightbox for Flickr, SmugMug & Others <= 3.21 - Authenticated (Contributor+) Stored Cross-Site Scripting via Caption AttributeEPSS 0.2%CVE-2026-27252MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.2%CVE-2025-9289MEDIUMCross-Site Scripting (XSS) on Omada ControllersEPSS 0.2%CVE-2026-2737HIGHPossibility of unintended actions when an administrator clicks a malicious link in the Progress Flowmon web applicationEPSS 0.2%