Falhas do tipo CWE-79

30.630 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-23511MEDIUMWordPress The Plus Addons for Elementor plugin <= 5.3.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-67165MEDIUMHCL Connections is vulnerable to cross-site scripting (XSS)EPSS 0.2%CVE-2026-32545HIGHWordPress Taboola Pixel plugin <= 1.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-97340MEDIUMAvada | Website Builder For WordPress & WooCommerce <= 7.16.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'author_facebook' User Profile FieldEPSS 0.2%CVE-2026-6172MEDIUMBold Page Builder <= 5.7.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'caption' ParameterEPSS 0.2%CVE-2026-32540HIGHWordPress Bookly plugin <= 26.7 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-42738HIGHWordPress Smart Online Order for Clover plugin <= 1.6.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-93535MEDIUMWP Dark Mode – Improve Accessibility with AI Powered Dark Theme <= 5.3.17 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon_light' Shortcode AttributeEPSS 0.2%CVE-2025-14814MEDIUMCSS & JavaScript Toolbox <= 12.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via cjtoolbox ShortcodeEPSS 0.2%CVE-2026-1607MEDIUMSurbma | Booking.com <= 2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.2%CVE-2026-93463MEDIUMA cross-site scripting vulnerability via script validation bypass exists in baserCMS. If this vulnerability is exploited, an arbitrary scripEPSS 0.2%CVE-2026-32455MEDIUMWordPress MDTF plugin <= 1.3.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-66077HIGHRabbitMQ: Stored XSS via TLS peer-certificate DN in management UIEPSS 0.2%CVE-2026-4754MEDIUMCWE-79 in MolotovCherry Android-ImageMagick7EPSS 0.2%CVE-2025-50001HIGHWordPress tagDiv Composer plugin <= 5.4.2 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-32454MEDIUMWordPress Avada Core plugin < 5.15.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-23753MEDIUMGFI HelpDesk < 4.99.9 Stored XSS via charset ParameterEPSS 0.2%CVE-2026-23752MEDIUMGFI HelpDesk < 4.99.9 Stored XSS via companyname ParameterEPSS 0.2%CVE-2026-32450MEDIUMWordPress Active Products Tables for WooCommerce plugin <= 1.0.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2025-68836HIGHWordPress Table of Contents Creator plugin <= 1.6.4.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%