Falhas do tipo CWE-79

30.642 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-118553MEDIUMAI (Artificial Intelligence) - Moderately critical - Cross-site scripting - SA-CONTRIB-2026-273EPSS 0.1%CVE-2026-103344HIGHWordPress Unlimited Elements For Elementor (Free Widgets, Addons, Templates) plugin <= 2.0.20 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.1%CVE-2026-52702HIGHWordPress SEO Redirection plugin <= 9.17 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.1%CVE-2025-15703LOWWP Job Openings < 4.0.0 - Admin+ Stored XSSEPSS 0.1%CVE-2026-9061LOWAgile Store Locator < 1.6.9 - Admin+ Stored XSS via logo_nameEPSS 0.1%CVE-2026-14234HIGHWOLF - WordPress Posts Bulk Editor and Manager < 1.1.0 - Stored XSS via CSRFEPSS 0.1%CVE-2026-1276MEDIUMIBM QRadar SIEM Cross-Site ScriptingEPSS 0.1%CVE-2026-27937LOWOctober: Reflected XSS via DataTable Form WidgetEPSS 0.1%CVE-2025-15051MEDIUMIBM QRadar SIEM Cross-Site ScriptingEPSS 0.1%CVE-2026-14239HIGHTourmaster < 5.4.8 - Stored XSS via CSRFEPSS 0.1%CVE-2026-78393MEDIUMLink Library < 7.9.6 - Reflected XSS via 'link_tags' and 'link_price' Sort and Breadcrumb LinksEPSS 0.1%CVE-2026-33244MEDIUMReact Router has stored XSS via unescaped Location header in prerendered redirect HTMLEPSS 0.1%CVE-2026-41692MEDIUMi18nextify is vulnerable to DOM XSS via javascript:/data: URL schemes in translated href/src attributesEPSS 0.1%CVE-2026-5782MEDIUMReflected XSS in MRV Technology's TurkHotspotEPSS 0.1%CVE-2026-34818MEDIUMEndian Firewall /manage/dnsmasq/localdomains/ remark Stored Cross-Site ScriptingEPSS 0.1%CVE-2026-34823MEDIUMEndian Firewall /manage/password/web/ remark Stored Cross-Site ScriptingEPSS 0.1%CVE-2026-34816MEDIUMEndian Firewall /manage/smtpscan/domainrouting/ domain Stored Cross-Site ScriptingEPSS 0.1%CVE-2025-71276MEDIUMSOGo before 5.12.5 is prone to a XSS vulnerability with events, tasks, and contacts categories.EPSS 0.1%CVE-2026-34811MEDIUMEndian Firewall /cgi-bin/xtaccess.cgi remark Stored Cross-Site ScriptingEPSS 0.1%CVE-2026-8078MEDIUMFix stored XSS in global settings change logEPSS 0.1%