Falhas do tipo CWE-79

30.628 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-27074MEDIUMWordPress Shortcoder plugin <= 6.5.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-27069MEDIUMWordPress Soledad theme <= 8.7.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-105116MEDIUMOpenAM before 16.1.3 Latent XSS in SAML Load-Balancer Cookie Bounce PageEPSS 0.2%CVE-2026-25369HIGHWordPress Flexmls® IDX plugin <= 3.15.9 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-25463MEDIUMWordPress Wpresidence Core plugin <= 5.4.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-28083MEDIUMWordPress Flatsome theme <= 3.20.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-120988MEDIUMbillboard.js before 4.1.3 allows an attacker to execute malicious JavaScript due to improper sanitization of series ids during legend templaEPSS 0.2%CVE-2026-103050MEDIUMStored i18n XSS in MassMessageEPSS 0.2%CVE-2026-36324MEDIUMSourceCodester Doctor Appointment System 1.0 is vulnerable to Cross Site Scripting (XSS) due to improper handling of user supplied input in EPSS 0.2%CVE-2026-27058MEDIUMWordPress Penci Podcast plugin <= 1.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-68875MEDIUMWordPress Flaming Password Reset plugin <= 1.0.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-69089MEDIUMWordPress Auto Listings plugin <= 2.7.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-18195MEDIUMIBM App Connect Enterprise web user interface and Administration REST API are vulnerable to html injectionEPSS 0.2%CVE-2026-67239HIGHRabbitMQ: Stored XSS via TLS peer-certificate DN in stream-management UIEPSS 0.2%CVE-2026-24355MEDIUMWordPress Houzez Theme - Functionality plugin <= 4.2.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-69092MEDIUMWordPress Essential Addons for Elementor plugin <= 6.5.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62111MEDIUMWordPress Extra Shortcodes plugin <= 2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-41426MEDIUMpretalx: Email injection via unescaped user-controlled placeholders in pretalx mail templatesEPSS 0.2%CVE-2025-62742MEDIUMWordPress Curator.io plugin <= 1.9.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-62125MEDIUMWordPress Custom Background Changer plugin <= 3.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%