Falhas do tipo CWE-79

30.587 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-12828MEDIUMUltra Addons Lite for Elementor <= 1.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Type Out WidgetEPSS 0.2%CVE-2025-52563MEDIUMChamilo: Reflected XSS via page parameterEPSS 0.2%CVE-2026-27756MEDIUMSODOLA SL902-SWTGW124AS <= 200.1.20 Reflected XSS in Management InterfaceEPSS 0.2%CVE-2025-59546LOWDNN Vulnerable to Stored XSS Using Backend Admin CredentialsEPSS 0.2%CVE-2026-114693MEDIUMWordPress All-in-One Video Gallery plugin <= 4.9.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-50231MEDIUMLyrion Music Server 9.2.0 Unauthenticated Stored XSS via server.logEPSS 0.2%CVE-2026-44245MEDIUMKyverno: [policy-reporter-ui] XSS via Stored Property Values in PropertyCard ComponentEPSS 0.2%CVE-2026-34974MEDIUMphpMyFAQ: SVG Sanitizer Bypass via HTML Entity Encoding leads to Stored XSS and Privilege EscalationEPSS 0.2%CVE-2025-2163MEDIUMZoorum Comments <= 0.9 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-45228MEDIUMQuark Drive (quark-auto-save) < 0.8.5 Stored XSS via System ConfigurationEPSS 0.2%CVE-2025-59539MEDIUMDNN affected by Stored Cross-Site Scripting (XSS) in Profile Biography fieldEPSS 0.2%CVE-2025-62731MEDIUMStored XSS in SOPlanningEPSS 0.2%CVE-2026-26291MEDIUMStored cross-site scripting vulnerability exists in GROWI v7.4.6 and earlier. If this vulnerability is exploited, an arbitrary script may beEPSS 0.2%CVE-2026-64628MEDIUMGrav Stored Cross-Site Scripting via Shortcode Attribute HandlersEPSS 0.2%CVE-2026-114194MEDIUMWordPress Ad Inserter plugin <= 2.8.18 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-34897MEDIUMWordPress Media LIbrary Assistant plugin <= 3.34 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-82161MEDIUMDell Wyse Management Suite, versions prior to 2609.0.0.155, contain an Improper Neutralization of Input During Web Page Generation ('Cross-sEPSS 0.2%CVE-2026-114184MEDIUMWordPress Elementor Addon Elements plugin <= 1.14.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62326MEDIUMHCL Digital Experience is susceptible to stored cross-site scripting (XSS)EPSS 0.2%CVE-2025-51662MEDIUMA stored cross-site scripting (XSS) vulnerability is found in the text sharing feature of FileCodeBox version 2.2 and earlier. Insufficient EPSS 0.2%