Falhas do tipo CWE-79

29.482 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2023-3021MEDIUMCross-site Scripting (XSS) - Stored in mkucej/i-librarian-freeEPSS 0.4%CVE-2026-6559MEDIUMWavlink WL-WN579A3 login.cgi sub_401F80 cross site scriptingEPSS 0.4%CVE-2026-86238MEDIUMprojectworlds Online Examination System Feedback Form feedback.php cross site scriptingEPSS 0.4%CVE-2024-11362MEDIUMPayments Plugin and Checkout Plugin for WooCommerce: Stripe, PayPal, Square, Authorize.net <= 1.112.0 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2026-33758CRITICALOpenBao has Reflected XSS in its OIDC authentication error messageEPSS 0.4%CVE-2026-9415MEDIUMcode-projects Employee Management System eloginwel.php cross site scriptingEPSS 0.4%CVE-2026-9527MEDIUMitsourcecode Electronic Judging System judges.php cross site scriptingEPSS 0.4%CVE-2026-8195MEDIUMJeecgBoot SVG File CommonController.java cross site scriptingEPSS 0.4%CVE-2024-3197MEDIUMThe Plus Addons for Elementor <= 5.4.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom AttributesEPSS 0.4%CVE-2026-5240MEDIUMcode-projects BloodBank Managing System admin_state.php cross site scriptingEPSS 0.4%CVE-2026-4848MEDIUMdameng100 muucmf list.html cross site scriptingEPSS 0.4%CVE-2026-6159MEDIUMcode-projects Simple ChatBox Endpoint insert.php cross site scriptingEPSS 0.4%CVE-2025-0864MEDIUMActive Products Tables for WooCommerce. Use constructor to create tables <= 1.0.6.6 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2026-11392MEDIUMWP Hotel Booking <= 2.3.1 - Reflected Cross-Site Scripting via 'check_in_date' and 'check_out_date' ParametersEPSS 0.4%CVE-2026-41576HIGHAjax30/BraveCMS-2.0: Stored HTML Injection in Contact Email via nl2br() and Unescaped Blade TemplateEPSS 0.4%CVE-2026-9416MEDIUMcode-projects Employee Management System myprofile.php cross site scriptingEPSS 0.4%CVE-2026-77150MEDIUMUnlimited Elements For Elementor <= 2.0.16 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2026-15492MEDIUMigweze wizgrade studentConductManager.php cross site scriptingEPSS 0.4%CVE-2025-62665MEDIUMStored XSS through system messages in Skin:BlueSkyEPSS 0.4%CVE-2023-5904LOWCross-site Scripting (XSS) - Stored in pkp/pkp-libEPSS 0.4%