Falhas do tipo CWE-79

29.486 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2023-20204MEDIUMA vulnerability in the web-based management interface of Cisco BroadWorks CommPilot Application Software could allow an authenticated, remotEPSS 0.4%CVE-2023-44228MEDIUMWordPress Onclick Show Popup Plugin <= 8.1 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2016-15052MEDIUMNagios XI < 5.2.4 XSS via Menu SystemEPSS 0.4%CVE-2016-15053MEDIUMNagios XI < 5.2.4 XSS via “My Reports” ListingEPSS 0.4%CVE-2020-36864MEDIUMNagios XI < 5.7.2 XSS via Dashboard Background Color SettingEPSS 0.4%CVE-2022-45816MEDIUMWordPress GD bbPress Attachments Plugin <= 4.3.1 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2024-4630MEDIUMStarter Templates — Elementor, WordPress & Beaver Builder Templates <= 4.2.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-45889MEDIUMA Universal Cross Site Scripting (UXSS) vulnerability in ClassLink OneClick Extension through 10.8 allows remote attackers to inject JavaScrEPSS 0.4%CVE-2023-33943MEDIUMCross-site scripting (XSS) vulnerability in the Account module in Liferay Portal 7.4.3.21 through 7.4.3.62, and Liferay DXP 7.4 update 21 thEPSS 0.4%CVE-2023-4315MEDIUMWoo Custom Emails <= 2.2 - Reflected Cross-Site Scripting via wcemails_editEPSS 0.4%CVE-2024-3595MEDIUMPure Chat – Live Chat Plugin & More! <= 2.22 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-5639MEDIUMTeam Showcase <= 2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2024-2423MEDIUMUsersWP <= 1.2.6 - Authenticated(Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2024-22551MEDIUMWhatACart v2.0.7 was discovered to contain a reflected cross-site scripting (XSS) vulnerability via the component /site/default/search.EPSS 0.4%CVE-2024-11688MEDIUMLaTeX2HTML <= 2.5.5 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2026-62914HIGHMicrosoft Exchange Server Spoofing VulnerabilityEPSS 0.4%CVE-2024-1276MEDIUMEssential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2021-47696MEDIUMNagios XI < 5.8.0 XSS via BPI Config ID HandlingEPSS 0.4%CVE-2023-44040MEDIUMIn VeridiumID before 3.5.0, the identity provider page is susceptible to a cross-site scripting (XSS) vulnerability that can be exploited byEPSS 0.4%CVE-2026-69402HIGHMicrosoft Office SharePoint Spoofing VulnerabilityEPSS 0.4%