Falhas do tipo CWE-79

30.599 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-100691MEDIUMHugo before 0.166.0 Stored XSS via lineAnchors code block optionEPSS 0.2%CVE-2026-102636HIGHDesign Name Stored Cross-Site Scripting (XSS) in Autodesk Fusion DesktopEPSS 0.2%CVE-2026-11186MEDIUMInappropriate implementation in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UEPSS 0.2%CVE-2022-50970MEDIUMWordPress Plugin AAWP 3.16 Reflected XSS via tab ParameterEPSS 0.2%CVE-2026-61456MEDIUMGrav before 1.0.3 Stored XSS via SVG Upload APIEPSS 0.2%CVE-2026-54326LOWPi: Potential XSS in HTML session exports via Markdown URL sanitization bypassEPSS 0.2%CVE-2026-102637HIGHFusion Protocol URL Reflected Cross-Site Scripting (XSS) in Autodesk Fusion DesktopEPSS 0.2%CVE-2026-33061MEDIUMJexactyl has Stored DOM Cross-Site Scripting (XSS) via unescaped JSON in Blade templateEPSS 0.2%CVE-2026-48543MEDIUMKrayin CRM 2.2.6 Stored Template Injection XSS via Web Form DescriptionEPSS 0.2%CVE-2026-4093MEDIUMStored XSS in Drupal 7 Term Reference Tree module (token display templates and term labels)EPSS 0.2%CVE-2026-48559MEDIUMLightweight Music Server 3.76.0 Stored XSS via Media File Metadata TagsEPSS 0.2%CVE-2026-118546MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-267EPSS 0.2%CVE-2026-35534HIGHChurchCRM has Stored XSS in PersonView.php via Facebook Field Attribute InjectionEPSS 0.2%CVE-2026-121447MEDIUMsvg-sanitizer before 1.1.0 XSS via animateTransform on SafariEPSS 0.2%CVE-2023-53737MEDIUMKentico Xperience <= 13.0.101 Localization Application Stored XSSEPSS 0.2%CVE-2026-118552MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-272EPSS 0.2%CVE-2026-118545MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-266EPSS 0.2%CVE-2026-125392MEDIUMWebmin through 2.670 Stored XSS via BIND8 edit_recs.cgi ALL ViewEPSS 0.2%CVE-2026-55746HIGHCotonti stored XSS via PFS folder titleEPSS 0.2%CVE-2026-41904HIGHFreeScout Stored XSS vulnerability in mailbox auto-reply: payload reaches every customer's email client (no CSP), bypassing strip_tags validator with mixed text+HTML contentEPSS 0.2%