Falhas do tipo CWE-79

29.338 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2023-34022HIGHWordPress Dynamic QR Code Generator Plugin <= 0.0.5 is vulnerable to Cross Site Scripting (XSS)EPSS 0.5%CVE-2024-23034MEDIUMCross Site Scripting vulnerability in the input parameter in eyoucms v.1.6.5 allows a remote attacker to run arbitrary code via crafted URL.EPSS 0.5%CVE-2026-32852MEDIUMMailEnable < 10.55 Reflected XSS via FreeBusy.aspx StartDate ParameterEPSS 0.5%CVE-2023-0410MEDIUMCross-site Scripting (XSS) - Generic in builderio/qwikEPSS 0.5%CVE-2015-10127LOWPlusCaptcha Plugin cross site scriptingEPSS 0.5%CVE-2026-58491CRITICALWarpgate: Reflected XSS in SSO return endpoint via attacker-controlled next parameterEPSS 0.5%CVE-2023-6148MEDIUMPossible XSS vulnerability in Jenkins Plugin for Qualys Policy ComplianceEPSS 0.5%CVE-2023-5084LOWCross-site Scripting (XSS) - Reflected in hestiacp/hestiacpEPSS 0.5%CVE-2024-12664MEDIUMruifang-tech Rebuild Project Task Comment cross site scriptingEPSS 0.5%CVE-2024-23032MEDIUMCross Site Scripting vulnerability in num parameter in eyoucms v.1.6.5 allows a remote attacker to run arbitrary code via crafted URL.EPSS 0.5%CVE-2024-23387MEDIUMFusionPBX prior to 5.1.0 contains a cross-site scripting vulnerability. If this vulnerability is exploited by a remote authenticated attackeEPSS 0.5%CVE-2026-32851MEDIUMMailEnable < 10.55 Reflected XSS via FreeBusy.aspx StartDate ParameterEPSS 0.5%CVE-2023-34032HIGHWordPress bbPress Toolkit Plugin <= 1.0.12 is vulnerable to Cross Site Scripting (XSS)EPSS 0.5%CVE-2026-32850MEDIUMMailEnable < 10.55 Reflected XSS via ManageShares.aspx SelectedIndex ParameterEPSS 0.5%CVE-2024-8717MEDIUMPDF Flipbook, 3D Flipbook, PDF embed, PDF viewer – DearFlip <= 2.3.32 - Reflected Cross-Site ScriptingEPSS 0.5%CVE-2023-23938MEDIUMCross-site Scripting (XSS) through the name of a color of select box values in tuleapEPSS 0.5%CVE-2023-25453HIGHWordPress WordPress Tables Plugin <= 1.3.9 is vulnerable to Cross Site Scripting (XSS)EPSS 0.5%CVE-2022-4966LOWsequentech admin-console Election Description cross site scriptingEPSS 0.5%CVE-2024-9806MEDIUMCraig Rodway Classroombookings Room Page fields cross site scriptingEPSS 0.5%CVE-2023-0371MEDIUMEmbedSocial < 1.1.28 - Contributor+ Stored XSSEPSS 0.5%