Falhas do tipo CWE-79

30.601 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2022-50683MEDIUMKentico Xperience <= 13.0.74 Form Configuration Stored XSSEPSS 0.2%CVE-2026-33436LOWStirling-PDF: Reflected XSS through crafted filename in file upload functionalityEPSS 0.2%CVE-2022-42974MEDIUMIn Kostal PIKO 1.5-1 MP plus HMI OEM p 1.0.1, the web application for the Solar Panel is vulnerable to a Stored Cross-Site Scripting (XSS) aEPSS 0.2%CVE-2025-71430MEDIUMFrappe before 15.91.1 Stored XSS via Leaderboard User NamesEPSS 0.2%CVE-2026-76975MEDIUMCross-Site Scripting (XSS) vulnerability in SAPUI5 (Support Assistant Overlay)EPSS 0.2%CVE-2026-34417MEDIUMOSCAL-GUI Reflected XSS via project parameter in oscal-forms.phpEPSS 0.2%CVE-2024-58321MEDIUMKentico Xperience <= 13.0.159 Form Validation Stored XSSEPSS 0.2%CVE-2026-104078HIGHObsidian Desktop < 1.14.0 RCE via MathJax Safe Filter BypassEPSS 0.2%CVE-2026-109670MEDIUMFrappe ERPNext before 15.110.0 Stored XSS via Item Record NameEPSS 0.2%CVE-2026-116203MEDIUMYesWiki before 4.7.0 Stored XSS via filtertags Action ParametersEPSS 0.2%CVE-2026-109657MEDIUMFrappe ERPNext 16.x before 16.27.0 Stored XSS via Unescaped Record NameEPSS 0.2%CVE-2025-62320MEDIUMHTML Injection Leading to Data Exfiltration to External Server vulnerability affects HCL Unica PlatformEPSS 0.2%CVE-2024-58323MEDIUMKentico Xperience <= 13.0.158 Checkbox Form Component Stored XSSEPSS 0.2%CVE-2026-33559MEDIUMWordPress Plugin "OpenStreetMap" provided by MiKa contains a cross-site scripting vulnerability. On the site with the affected version of thEPSS 0.2%CVE-2026-111932MEDIUMCoder before 2.34.2 Stored HTML Injection via Appearance SettingsEPSS 0.2%CVE-2026-39636MEDIUMWordPress Livemesh Addons for Elementor plugin <= 9.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39575MEDIUMWordPress Custom Query Blocks plugin <= 5.5.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-44429MEDIUMMCP Registry: Stored XSS in catalogue UI via attribute-quote breakout in publisher-controlled `websiteUrl`EPSS 0.2%CVE-2026-39674MEDIUMWordPress MK Google Directions plugin <= 3.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39666MEDIUMWordPress Hello Bar Popup Builder plugin <= 1.5.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%