Falhas do tipo CWE-79

30.643 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-114372MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS —CVE-2026-111303HIGHMicrosoft Office SharePoint Spoofing VulnerabilityEPSS —CVE-2026-125762MEDIUMWordPress Premium Addons for Elementor plugin <= 4.11.116 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-64670CRITICALStored XSS in @waline/client via the unsanitized markdown preview of a comment's raw body on editEPSS —CVE-2026-125455MEDIUMWordPress Bold Page Builder plugin <= 5.9.11 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-125338MEDIUMWinter CMS: Stored XSS through cached Brand Settings and Editor Settings custom stylesEPSS —CVE-2026-124253HIGHWordPress Calculated Fields Form plugin <= 5.5.2.8 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-125743MEDIUMWordPress Elementor Addon Elements plugin <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-121862HIGHKnowledge Building < 0.7.3 - Unauthenticated Stored XSS via knbu_new_reply AJAX ActionEPSS —CVE-2026-125045MEDIUMWordPress Create plugin <= 3.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-118413MEDIUMApache Roller: Stored cross-site scripting through imported blogroll linksEPSS —CVE-2026-15785MEDIUMJoinchat <= 6.3.1 - Reflected Cross-Site Scripting via '{HREF}' Dynamic VariableEPSS —CVE-2026-125451MEDIUMWordPress B Blocks plugin <= 2.1.15 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-123134HIGHSmoove Abandoned Cart Trigger for WooCommerce 4.0.0 - 4.3.5 - Unauthenticated Stored XSSEPSS —CVE-2026-126078MEDIUMAction View: Possible XSS vulnerability in Action View highlight helperEPSS —CVE-2026-120350MEDIUMStored Cross-Site Scripting in the Vaadin Rich Text Editor via an Unescaped Video EmbedEPSS —CVE-2026-124256MEDIUMWordPress Delivery & Pickup Date Time for WooCommerce plugin <= 1.3.90 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-124257MEDIUMWordPress BP Better Messages plugin <= 3.2.1 - Cross Site Scripting (XSS) vulnerabilityEPSS —CVE-2026-123341MEDIUMAdobe Experience Manager | Cross-site Scripting (Reflected XSS) (CWE-79)EPSS —CVE-2026-119975HIGHVisual Studio Code Remote Code Execution VulnerabilityEPSS —