Falhas do tipo CWE-79

30.593 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-24391HIGHWordPress Car Dealer theme <= 1.6.7 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32493HIGHWordPress JobSearch plugin <= 3.2.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-58886MEDIUMWordPress Instant Locations Plugin <= 1.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.2%CVE-2025-64200MEDIUMWordPress Email Template Customizer for WooCommerce plugin <= 1.2.17 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-49044MEDIUMWordPress Advanced Custom Fields: Font Awesome Field plugin <= 5.0.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-35571MEDIUMEmissary has Stored XSS via Navigation Template Link InjectionEPSS 0.2%CVE-2022-30297LOWCross-site scripting in the Intel(R) EMA software before version 1.8.0 may allow a privileged user to potentially enable escalation of priviEPSS 0.2%CVE-2026-8882MEDIUMWP ApplicantStack Jobs Display <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2026-8841MEDIUMExtra Settings for RocketChat <= 0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode AttributesEPSS 0.2%CVE-2025-37732MEDIUMKibana Cross-site Scripting via the Integration Package Upload FunctionalityEPSS 0.2%CVE-2024-30461HIGHWordPress Tumult Hype Animations plugin <= 1.9.11 - CSRF to XSS vulnerabilityEPSS 0.2%CVE-2026-41661MEDIUMAdmidio: Reflected XSS in msg_window.php via Square Bracket to HTML Tag ConversionEPSS 0.2%CVE-2026-8039MEDIUMFancy Testimonials <= 1.0 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-1820MEDIUMMedia Library Alt Text Editor <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'post_id' Shortcode AttributeEPSS 0.2%CVE-2026-42729HIGHWordPress PropertyHive plugin <= 2.2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-6255MEDIUMSimple Owl Shortcodes <= 2.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'num' Shortcode AttributeEPSS 0.2%CVE-2025-68898MEDIUMWordPress Synergy Project Manager plugin <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-56381MEDIUMCraft CMS - Stored XSS via User Group Name in User Permissions PageEPSS 0.2%CVE-2026-14379MEDIUMGamiPress <= 7.9.4 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'video_id' ParameterEPSS 0.2%CVE-2026-14572MEDIUMKirki <= 6.2.0 - Authenticated (Custom+) Stored Cross-Site Scripting via Page Builder Text ContentEPSS 0.2%