Falhas do tipo CWE-79

30.540 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-36132MEDIUMIBM Planning Analytics Local cross-site scriptingEPSS 0.2%CVE-2026-22210LOWwpDiscuz before 7.6.47 - Cross-Site Scripting via Unescaped Attachment URLsEPSS 0.2%CVE-2026-93883MEDIUMAdvanced Classifieds & Directory Pro <= 3.4.4 - Authenticated (Custom+) Stored Cross-Site Scripting via 'phone' ParameterEPSS 0.2%CVE-2026-2678MEDIUMMultiple vulnerabilities in A3factura softwareEPSS 0.2%CVE-2026-28436LOWFrappe: Stored XSS in avatar_macro.htmlEPSS 0.2%CVE-2026-2382MEDIUMFPW Category Thumbnails <= 1.9.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'id' ParameterEPSS 0.2%CVE-2026-27973MEDIUMAudiobookshelf has Stored XSS in ItemSearchCard.vue via Audiobook Metadata (Search Results on Mobile App)EPSS 0.2%CVE-2025-49878MEDIUMWordPress WPAdverts plugin <= 2.2.4 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-64196HIGHWordPress Booster for WooCommerce plugin <= 7.2.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2022-50948MEDIUMMotopress Hotel Booking Lite 4.2.4 Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-121929MEDIUMEmpireSoft EmpireCMS index.php cross site scriptingEPSS 0.2%CVE-2026-111021HIGHPersian WooCommerce SMS 7.2.0 - 7.3.1 - Reflected XSS via 'pwsms_mobiles' ParameterEPSS 0.2%CVE-2025-64232HIGHWordPress Import from YML plugin <= 3.1.17 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-69993MEDIUMLeaflet versions up to and including 1.9.4 are vulnerable to Cross-Site Scripting (XSS) via the bindPopup() method. This method renders userEPSS 0.2%CVE-2026-32361MEDIUMWordPress Editorial Calendar plugin <= 3.9.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32403MEDIUMWordPress Toocheke Companion plugin <= 1.194 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2022-50949MEDIUMWordPress Plugin Videos sync PDF 1.7.4 Stored XSSEPSS 0.2%CVE-2026-97233MEDIUMvolotat Anagnorisis Media Filename PlaylistManager.js html cross site scriptingEPSS 0.2%CVE-2026-25305MEDIUMWordPress XStore theme <= 9.6.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-6745MEDIUMBagisto Custom Scripts cross site scriptingEPSS 0.2%