Falhas do tipo CWE-79

30.540 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-49861MEDIUMWordPress Kama Click Counter plugin <= 4.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-49881MEDIUMWordPress Responsive Blocks plugin <= 2.0.5 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-49863MEDIUMWordPress Advanced Sermons plugin <= 3.6 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-49882MEDIUMWordPress CubeWP Framework plugin <= 1.1.23 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-4626MEDIUMprojectworlds Lawyer Management System lawyer_booking.php cross site scriptingEPSS 0.2%CVE-2026-88420MEDIUMA reflected cross-site scripting (XSS) vulnerability in the EntryAbstract.save() component of APSL puput v1.2.1 through v2.2.0 allows authenEPSS 0.2%CVE-2026-0703MEDIUMNextMove Lite - Thank You Page for WooCommerce <= 2.23.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'xlwcty_current_date' ShortcodeEPSS 0.2%CVE-2025-49858MEDIUMWordPress Arconix Shortcodes plugin <= 2.1.17 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-35166MEDIUMHugo does not properly escape some Markdown linksEPSS 0.2%CVE-2025-49859MEDIUMWordPress WP Views Counter plugin <= 2.0.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-30943MEDIUMWordPress Posts Slider Shortcode plugin <= 1.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-66523MEDIUMReflected Cross-Site Scripting (XSS) Vulnerability in na1.foxitesign.foxit.com via Unsanitized URL ParametersEPSS 0.2%CVE-2026-92727MEDIUMEmbedPress <= 4.6.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'slidesShow' Block AttributeEPSS 0.2%CVE-2026-6335MEDIUMImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLabEPSS 0.2%CVE-2025-64744LOWOpenObserve Vulnerable to HTML Injection in Organization Invitation EmailsEPSS 0.2%CVE-2025-26591MEDIUMWordPress WP fancybox plugin <= 1.0.3 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-49855MEDIUMWordPress Meks Flexible Shortcodes plugin <= 1.3.7 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2026-92712MEDIUMReactPress <= 3.4.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'permalink' ParameterEPSS 0.2%CVE-2026-7662MEDIUMePaperFlip Publisher <= 1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'publicationid' Shortcode AttributeEPSS 0.2%CVE-2025-27326MEDIUMWordPress Video Gallery Block plugin <= 1.1.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%