Falhas do tipo CWE-79

29.482 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-5625MEDIUMassafelovic gpt-researcher WebSocket researcher.py cross site scriptingEPSS 0.4%CVE-2026-6218MEDIUMaandrew-me ytDownloader Error Details Panel createTextNode cross site scriptingEPSS 0.4%CVE-2024-1073MEDIUMSlimStat Analytics <= 5.1.3 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2026-5319MEDIUMitsourcecode Payroll Management System navbar.php cross site scriptingEPSS 0.4%CVE-2026-18968MEDIUMttttonyhe OBlog tags.php cross site scriptingEPSS 0.4%CVE-2026-9519MEDIUMstonith404 pingvin-share Sign-in Auto-Redirect signIn.tsx getServerSideProps cross site scriptingEPSS 0.4%CVE-2022-4973MEDIUMWordPress Core < 6.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via use of the_meta(); functionEPSS 0.4%CVE-2025-62667MEDIUMStored XSS through article extracts in GrowthExperimentsEPSS 0.4%CVE-2026-5533MEDIUMbadlogic pi-mono SVG Artifact SvgArtifact.ts cross site scriptingEPSS 0.4%CVE-2026-6150MEDIUMcode-projects Simple Laundry System checkupdatestatus.php cross site scriptingEPSS 0.4%CVE-2024-0383MEDIUMWP Recipe Maker <= 9.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'group_tag'EPSS 0.4%CVE-2024-25709MEDIUMSelf-XSS style in move item dialogEPSS 0.4%CVE-2026-4846MEDIUMdameng100 muucmf autoReply.html cross site scriptingEPSS 0.4%CVE-2025-1612MEDIUMEdimax BR-6288ACL wireless5g_basic.asp cross site scriptingEPSS 0.4%CVE-2024-3340MEDIUMColibri Page Builder <= 1.0.272 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'colibri-gallery-slideshow' ShortcodeEPSS 0.4%CVE-2026-5630MEDIUMassafelovic gpt-researcher Report API app.py cross site scriptingEPSS 0.4%CVE-2022-40487MEDIUMProcessWire v3.0.200 was discovered to contain multiple cross-site scripting (XSS) vulnerabilities via the Search Users and Search Pages funEPSS 0.4%CVE-2026-9518MEDIUMhemant6488 CodeIgniter-StudentManagementSystem Students Controller view_students.php addStudent cross site scriptingEPSS 0.4%CVE-2026-5226MEDIUMOptimole <= 4.2.3 - Reflected Cross-Site Scripting via Page Profiler URLEPSS 0.4%CVE-2026-5157MEDIUMcode-projects Online Food Ordering System Order order.php cross site scriptingEPSS 0.4%