Falhas do tipo CWE-79

30.601 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-69268MEDIUMSpectrum reflected XSSEPSS 0.2%CVE-2026-48157MEDIUMSlim has Reflected XSS in the HtmlErrorRendererEPSS 0.2%CVE-2026-39517MEDIUMWordPress Blog Filter plugin <= 1.7.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25465MEDIUMWordPress CP Multi View Event Calendar plugin <= 1.4.36 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39646MEDIUMWordPress Leaflet Map plugin <= 3.4.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-33116MEDIUMIBM Watson Studio on Cloud Pak for Data cross-site scriptingEPSS 0.2%CVE-2026-39665MEDIUMWordPress SEO Friendly Images plugin <= 3.0.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-62293MEDIUMHAPI FHIR: Stored XSS in scan report via unescaped IG and profile titlesEPSS 0.2%CVE-2026-32521MEDIUMWordPress WP Custom Admin Interface plugin <= 7.42 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-39482MEDIUMWordPress Post Expirator plugin <= 4.9.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-103305HIGHPrenotazioni <= 1.7.5 - Unauthenticated Stored XSS via Settings UpdateEPSS 0.2%CVE-2026-29598MEDIUMMultiple stored cross-site scripting (XSS) vulnerabilities in the submit_add_user.asp endpoint of DDSN Interactive Acora CMS v10.7.1 allow aEPSS 0.2%CVE-2026-105397MEDIUMLearnPress WordPress Plugin through 4.4.9.1 Stored XSS via Quiz Question Hint and ExplanationEPSS 0.2%CVE-2026-105879MEDIUMWordPress JetElements For Elementor plugin <= 2.9.2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-100509MEDIUMWordPress RepairBuddy plugin <= 4.1225 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-108482MEDIUMWordPress Premium Addons for Elementor plugin <= 4.11.110 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24573MEDIUMWordPress Visualizer plugin < 4.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-24710MEDIUMNorthern.tech CFEngine Enterprise before 3.21.8, 3.24.3, and 3.27.0 allows XSS.EPSS 0.2%CVE-2026-49773MEDIUMWordPress FV Flowplayer Video Player plugin < 7.5.51.7212 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-97270MEDIUMWordPress CMB2 plugin <= 2.13.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%