Falhas do tipo CWE-79

30.601 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-69088MEDIUMWordPress Combo Offers WooCommerce plugin <= 4.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-8106MEDIUMReflected HTML injection vulnerability in GitHub Enterprise Server Management Console login page allowed credential theftEPSS 0.2%CVE-2026-3361MEDIUMWP Store Locator <= 2.2.261 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'wpsl_address' Post MetaEPSS 0.2%CVE-2026-29520MEDIUMHereta ETH-IMC408M Reflected XSS via ping_ipaddr ParameterEPSS 0.2%CVE-2026-97238MEDIUMWordPress JetEngine plugin <= 3.8.14.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-105316HIGHMagee Shortcodes <= 2.1.1 - Reflected XSS via live_preview and magee_create_shortcode ActionsEPSS 0.2%CVE-2026-5429HIGHKiro IDE Webview Cross-Site Scripting via Workspace Color ThemeEPSS 0.2%CVE-2025-68528MEDIUMWordPress Free Shipping Bar: Amount Left for Free Shipping for WooCommerce plugin <= 2.4.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-40038MEDIUMPachno 1.0.6 Stored Cross-Site Scripting via Multiple ParametersEPSS 0.2%CVE-2026-4420MEDIUMStored XSS via Page Creating functionality in BluditEPSS 0.2%CVE-2025-68513MEDIUMWordPress Bold Timeline Lite plugin <= 1.2.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-116803MEDIUMDOMPurify before 3.4.17 DOM XSS via IN_PLACE Hook-Detached SubtreesEPSS 0.2%CVE-2026-54681MEDIUMDiscordChatExporter: HTML attribute injection via unescaped emoji name in HTML exportEPSS 0.2%CVE-2026-34821MEDIUMEndian Firewall /manage/vpnauthentication/user/ remark Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-0256MEDIUMPAN-OS: Stored Cross-Site Scripting (XSS) Vulnerability in the Web InterfaceEPSS 0.2%CVE-2026-29828MEDIUMDooTask v1.6.27 has a Cross-Site Scripting (XSS) vulnerability in the /manage/project/<id> page via the input field projectDesc.EPSS 0.2%CVE-2026-39840MEDIUMCSS injection in multiple Cargo display formatsEPSS 0.2%CVE-2026-110981HIGHWP Photo Album Plus < 9.2.11.002 - Reflected XSS via 'wppa-cat' ParameterEPSS 0.2%CVE-2025-62758MEDIUMWordPress Funnelforms Free plugin <= 3.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-92412HIGHFive Star Restaurant Reviews < 2.3.14 - Reflected XSSEPSS 0.2%