Falhas do tipo CWE-79

30.601 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-115966MEDIUMWordPress Typing Text – Give your texts many typing effects plugin <= 2.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-87970MEDIUMIf-So Dynamic Content 1.8 - 1.10.1 - Reflected XSS via render_ifso_shortcodesEPSS 0.2%CVE-2026-114703MEDIUMWordPress Extensions for Leaflet Map plugin <= 6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-114701MEDIUMWordPress Waitlist Woocommerce ( Back in stock notifier ) plugin <= 2.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-114710MEDIUMWordPress Gallery PhotoBlocks plugin <= 1.3.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-116400MEDIUMWordPress Button Block plugin <= 1.2.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-28398MEDIUMNocoDB: Stored Cross-Site Scripting via Comments and Rich Text CellsEPSS 0.2%CVE-2026-52709MEDIUMWordPress Video Gallery Block plugin <= 1.6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-38724HIGHWordPress Contact Form 7 Summary and Print plugin <= 1.2.5 - Cross Site Request Forgery (CSRF) to XSS vulnerabilityEPSS 0.2%CVE-2026-120365MEDIUMWordPress WP Customer Area plugin <= 8.4.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-112867MEDIUMWordPress H5P plugin <= 1.17.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-120364MEDIUMWordPress Vidplex plugin <= 1.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-112865MEDIUMWordPress Royal Elementor Addons plugin <= 1.7.1069 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-119497MEDIUMWordPress Directorist plugin <= 8.10.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-114709MEDIUMWordPress Ad Inserter plugin <= 2.8.18 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-112833MEDIUMWordPress Seriously Simple Podcasting plugin <= 3.17.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-65444MEDIUMWordPress Blocksy Companion plugin <= 2.1.60 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24621MEDIUMWordPress Terms descriptions plugin <= 3.4.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-64383MEDIUMWordPress Qi Blocks plugin <= 1.4.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-1446MEDIUMXSS issue is Esri ArcGIS Pro versions 3.6.0 and earlierEPSS 0.2%