Falhas do tipo CWE-79

29.350 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-48883MEDIUMChrome PHP is missing encoding in `CssSelector`EPSS 0.5%CVE-2025-3822MEDIUMSourceCodester Web-based Pharmacy Product Management System changepassword.php cross site scriptingEPSS 0.5%CVE-2023-25571MEDIUMBackstage has XSS Vulnerability in Software CatalogEPSS 0.5%CVE-2026-54498HIGHview_component: around_render HTML-Safety BypassEPSS 0.5%CVE-2026-39933MEDIUMMultiple XSS vulnerabilities in GlobalWatchlistEPSS 0.5%CVE-2026-39935MEDIUMXSS-via-i18n in localised wiki namesEPSS 0.5%CVE-2024-3665MEDIUMRank Math SEO with AI SEO Tools <= 1.0.216 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'titleWrapper'EPSS 0.5%CVE-2024-4780MEDIUMImage Hover Effects – Elementor Addon <= 1.4.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via eihe_link ParameterEPSS 0.5%CVE-2024-6939MEDIUMXinhu RockOA tpl_upload.html okla cross site scriptingEPSS 0.5%CVE-2026-28355LOW"PWA" Canarytoken Vulnerable to Stored Self Cross-Site ScriptingEPSS 0.5%CVE-2022-36311—Airspan AirVelocity 1500 prior to software version 15.18.00.2511 is vulnerable to injection leading to XSS in the SNMP community field in thEPSS 0.5%CVE-2026-39936MEDIUMStored XSS in Score due to usage of non-reserved data attributesEPSS 0.5%CVE-2024-29193MEDIUMGHSL-2023-207 gotortc DOM-based Cross-site Scripting vulnerabilityEPSS 0.5%CVE-2026-72751MEDIUMStored Cross-Site Scripting in CTI-Transmute Conversion Graph via Malicious STIX/MISP ContentEPSS 0.5%CVE-2024-7343MEDIUMBaidu UEditor cross site scriptingEPSS 0.5%CVE-2026-15810HIGHCross-Site Scripting (XSS) in Looker allows Admin Account TakeoverEPSS 0.5%CVE-2024-7976MEDIUMInappropriate implementation in FedCM in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a craftedEPSS 0.5%CVE-2026-54216MEDIUMTeamDavid: Reflected Cross Site Scripting (XSS) via the 'EntryInfo' parameterEPSS 0.5%CVE-2024-3554MEDIUMAll in One SEO – Best WordPress SEO Plugin – Easily Improve SEO Rankings & Increase Traffic <= 4.6.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.5%CVE-2024-4327LOWApryse WebViewer PDF Document cross site scriptingEPSS 0.5%