Falhas do tipo CWE-79

29.496 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2021-31740MEDIUMSEPPMail's web frontend, user input is not embedded correctly in the web page and therefore leads to cross-site scripting vulnerabilities (XEPSS 0.4%CVE-2022-50587MEDIUMNagios XI < 5.8.9 Stored XSS via Command Names in Apply Config Error TextEPSS 0.4%CVE-2023-0369—GoToWP <= 5.1.1 - Contributor+ Stored XSSEPSS 0.4%CVE-2024-20273MEDIUMCisco Firepower Management Center Software Cross-Site Scripting VulnerabilityEPSS 0.4%CVE-2026-45014MEDIUMApostrophe Vulnerable to Stored Cross-Site Scripting via Unsanitized User Display Name in Draft Version TooltipEPSS 0.4%CVE-2021-47842MEDIUMStudyMD 0.3.2 - Persistent Cross-Site ScriptingEPSS 0.4%CVE-2021-47840MEDIUMMoeditor 0.2.0 - Persistent Cross-Site ScriptingEPSS 0.4%CVE-2026-66919MEDIUMStored DOM-Based Cross-Site Scripting in Node Modal HeadersEPSS 0.4%CVE-2026-26724HIGHCross Site Scripting vulnerability in Key Systems Inc Global Facilities Management Software v. 20230721a allows a remote attacker to executeEPSS 0.4%CVE-2026-66825MEDIUMCross-Site Scripting via Unsafe URL Schemes in Pivotick Property LinksEPSS 0.4%CVE-2021-23260MEDIUMStored XSS Vulnerability in File Name of the File Upload functionEPSS 0.4%CVE-2022-50585MEDIUMNagios XI < 5.8.9 Core Config Manager (CCM) XSS via Audit Log Page Search InputEPSS 0.4%CVE-2026-44651MEDIUMSillyTavern: Reflected XSS vulnerability in the CORS proxy middlewareEPSS 0.4%CVE-2023-0891MEDIUMStagtools < 2.3.7 - Contributor+ Stored XSSEPSS 0.4%CVE-2026-44371MEDIUMOpen OnDemand: Specially crafted filenames can execute javascript in the file browserEPSS 0.4%CVE-2025-4608MEDIUMStructured Content <= 1.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via sc_fs_local_business ShortcodeEPSS 0.4%CVE-2026-66921MEDIUMPivotick - Stored DOM-Based Cross-Site Scripting via Unescaped Markdown Node ReferencesEPSS 0.4%CVE-2022-50588MEDIUMNagios XI < 5.8.9 Stored XSS in Update CheckingEPSS 0.4%CVE-2023-0109CRITICALStored XSS in usememos/memosEPSS 0.4%CVE-2023-5323MEDIUMCross-site Scripting (XSS) - Generic in dolibarr/dolibarrEPSS 0.4%