Falhas do tipo CWE-79

30.587 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-8845MEDIUMIslamic Database <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-63356MEDIUMAffected devices do not properly sanitize calculated signal names contained in imported CSV trace files before including them in error messaEPSS 0.2%CVE-2026-5715MEDIUMVoyage Plus <= 1.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'post-content' ShortcodeEPSS 0.2%CVE-2026-4920MEDIUMNext Date <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'default' Shortcode AttributeEPSS 0.2%CVE-2026-7661MEDIUMBootstrap Shortcode <= 1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'box' ShortcodeEPSS 0.2%CVE-2026-63352MEDIUMAffected devices do not properly sanitize calculated signal data contained in imported CSV trace files before rendering it on the Trace pageEPSS 0.2%CVE-2026-25033HIGHWordPress Motta Addons plugin < 1.6.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25349HIGHWordPress Loobek theme < 1.5.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24975HIGHWordPress Organici Library plugin <= 2.1.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-8048MEDIUMMy Email Shortcode <= 0.91 - [Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')]EPSS 0.2%CVE-2026-25013HIGHWordPress Phox Hosting plugin <= 2.0.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25361HIGHWordPress WpEvently plugin <= 5.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-46363MEDIUMphpMyFAQ - Stored XSS in FAQ Question/Answer via Encode-Decode BypassEPSS 0.2%CVE-2016-20066MEDIUMWordPress CP Polls 1.0.8 Persistent Cross-Site ScriptingEPSS 0.2%CVE-2026-4794LOWMultiple cross-site scripting (XSS) vulnerabilities in PaperCut NG/MFEPSS 0.2%CVE-2025-68851HIGHWordPress Okay Toolkit plugin <= 2.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25331MEDIUMWordPress WP Activity Log plugin <= 5.5.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-108484HIGHWordPress Best Payments Plugin for WP plugin <= 4.6.27 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-102376HIGHWordPress Branda plugin <= 3.4.32 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-45231MEDIUMDumbAssets 1.0.11 Stored Cross-Site Scripting via Asset FieldsEPSS 0.2%