Falhas do tipo CWE-79

30.585 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-8042MEDIUMGithub Shortcode <= 0.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-25451MEDIUMWordPress Bold Page Builder plugin <= 5.6.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32352MEDIUMWordPress Elementor Website Builder plugin <= 3.35.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-114526HIGHBlack Hole - Critical - Cross-site scripting - SA-CONTRIB-2026-223EPSS 0.2%CVE-2025-69011MEDIUMWordPress Cool Tag Cloud plugin <= 2.29 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-43876MEDIUMWWBN AVideo: HTML Injection in notifySubscribers.json.php Enables Platform-Branded Phishing Emails to Channel SubscribersEPSS 0.2%CVE-2026-39742MEDIUMWordPress Gutenberg Blocks by Kadence Blocks plugin <= 3.8.0.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32424MEDIUMWordPress Sprout Clients plugin <= 3.2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-55996MEDIUMViber Desktop 25.6.0 is vulnerable to HTML Injection via the text parameter of the message compose/forward interfaceEPSS 0.2%CVE-2026-97868MEDIUMsheshbabu zen Note Editor NotesEditor.jsx dangerouslySetInnerHTML cross site scriptingEPSS 0.2%CVE-2026-32431MEDIUMWordPress Astra Bulk Edit plugin <= 1.2.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-20085MEDIUMCisco Integrated Management Controller Cross-Site Scripting VulnerabilityEPSS 0.2%CVE-2026-108898MEDIUMNetis WF2409E Wireless Settings cross site scriptingEPSS 0.2%CVE-2026-124552MEDIUMWebmin through 2.670 Stored XSS via Shorewall and Shorewall6 list.cgiEPSS 0.2%CVE-2026-101141MEDIUMEleveo Call Recording Software Play Audio audio.jsp cross site scriptingEPSS 0.2%CVE-2025-64224HIGHWordPress Grand Conference Theme Custom Post Type plugin < 2.6.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-124498MEDIUMConvene Azeus Convene Board Management Portal dummy_launcher.jsp cross site scriptingEPSS 0.2%CVE-2026-55650MEDIUMOuterbase Studio: Stored XSS in Text Widget Leads to Authentication Token ExposureEPSS 0.2%CVE-2026-32429MEDIUMWordPress Magical Addons For Elementor plugin <= 1.4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-23081MEDIUMVarious security vulnerabilities in Extension:DataTransferEPSS 0.2%