Falhas do tipo CWE-79

30.618 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-36761MEDIUMA stored cross-site scripting (XSS) vulnerability in the /msg/msgInner/save endpoint of JeeSite v5.15.1 allows attackers to execute arbitrarEPSS 0.2%CVE-2026-25438HIGHWordPress Gutenberg Blocks – Unlimited blocks For Gutenberg plugin <= 1.2.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25472MEDIUMWordPress Fusion Builder plugin <= 3.14.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-103045MEDIUMXSS in Refreshed skinEPSS 0.2%CVE-2026-10510MEDIUMGeniexWebView XSS in com.transsion.aiassistantlifestyleEPSS 0.2%CVE-2026-27057MEDIUMWordPress Penci Filter Everything plugin <= 1.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-44230MEDIUMRT: Reflected Cross-Site Scripting in search results chartEPSS 0.2%CVE-2026-27059MEDIUMWordPress Penci Recipe plugin <= 4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-103046MEDIUMWikifunctionsFragmentRenderer does unsafe string replacements on user-provided HTMLEPSS 0.2%CVE-2026-103049MEDIUMXSS in Cargo's Special:CargoQuery page due to unsanitized table headersEPSS 0.2%CVE-2026-100237MEDIUMStored i18n XSS in the Flow integration of ThanksEPSS 0.2%CVE-2018-25349MEDIUMuserSpice 4.3.24 Cross-Site Scripting via X-Forwarded-For HeaderEPSS 0.2%CVE-2026-25369HIGHWordPress Flexmls® IDX plugin <= 3.15.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-4852MEDIUMImage Source Control Lite – Show Image Credits and Captions <= 3.9.1 - Authenticated (Author+) Stored Cross-Site Scripting via 'Image Source' FieldEPSS 0.2%CVE-2026-32449MEDIUMWordPress Themify Event Post plugin <= 1.3.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-100245MEDIUMStored XSS on Wikibase Special:SetSiteLink via unescaped system messageEPSS 0.2%CVE-2026-100243MEDIUMStored XSS in WikiSEO author and image properties on action=infoEPSS 0.2%CVE-2026-33883MEDIUMStatamic has Reflected XSS via unescaped redirect parameter in its password reset form tagEPSS 0.2%CVE-2026-120988MEDIUMbillboard.js before 4.1.3 allows an attacker to execute malicious JavaScript due to improper sanitization of series ids during legend templaEPSS 0.2%CVE-2026-103050MEDIUMStored i18n XSS in MassMessageEPSS 0.2%