Falhas do tipo CWE-79

30.537 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-5106MEDIUMcode-projects Exam Form Submission update_fst.php cross site scriptingEPSS 0.2%CVE-2026-54195HIGHWordPress JetFormBuilder plugin <= 3.6.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-36088MEDIUMIBM TS4500 cross-site scriptingEPSS 0.2%CVE-2025-70094MEDIUMA cross-site scripting (XSS) vulnerability in the Generate Item Barcode function of OpenSourcePOS v3.4.1 allows attackers to execute arbitraEPSS 0.2%CVE-2026-5325MEDIUMSourceCodester Simple Customer Relationship Management System Create Ticket create-ticket.php cross site scriptingEPSS 0.2%CVE-2026-1911MEDIUMTwitter Feeds <= 1.0.0 - Authenticated (Contributor+) Cross-Site Scripting via 'tweet_title' Shortcode AttributeEPSS 0.2%CVE-2025-53496MEDIUMStored XSS in MediaSearchEPSS 0.2%CVE-2026-1914MEDIUMFuseDesk <= 6.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'emailtext' Shortcode AttributeEPSS 0.2%CVE-2025-68166MEDIUMIn JetBrains TeamCity before 2025.11 a DOM-based XSS was possible on the OAuth connections tabEPSS 0.2%CVE-2025-6244MEDIUMEssential Addons for Elementor – Popular Elementor Templates and Widgets <= 6.1.19 - Authenticated (Contributor+) Stored Cross-Site Scripting via `Calendar` And `Business Reviews` WidgetsEPSS 0.2%CVE-2026-8847MEDIUMDideo <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-27506MEDIUMSVXportal <= 2.5 Profile Update Stored XSSEPSS 0.2%CVE-2025-5537MEDIUMLightbox & Modal Popup WordPress Plugin – FooBox <= 2.7.34 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-5570MEDIUMAI Engine <= 2.8.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via `mwai_chatbot` Shortcode `id` ParameterEPSS 0.2%CVE-2026-120552MEDIUMSEO Engine <= 0.9.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Entity-Encoded Post Title via Strip-then-Decode in build_title()EPSS 0.2%CVE-2026-54191HIGHWordPress Pods plugin <= 3.3.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-53479MEDIUMCheckUser: Reflected Cross-Site Scripting (XSS) in Special:CheckUser via unsanitized internationalized messageEPSS 0.2%CVE-2026-0609MEDIUMLogo Slider <= 4.9.0 - Authenticated (Author+) Stored Cross-Site Scripting via 'logo-slider' ShortcodeEPSS 0.2%CVE-2025-53491MEDIUMXSS in FlaggedRevsEPSS 0.2%CVE-2026-4835MEDIUMcode-projects Accounting System Web Application add_costumer.php cross site scriptingEPSS 0.2%