Falhas do tipo CWE-79

29.526 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-3974MEDIUMBuddyPress <= 12.4.0 - Authenticated (Subscriber+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-1445MEDIUMPage scroll to id <= 1.7.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.4%CVE-2023-31164MEDIUMImproper Neutralization of Input During Web Page GenerationEPSS 0.4%CVE-2025-10485MEDIUMpojoin h3blog HTTP Header login ppt_log cross site scriptingEPSS 0.4%CVE-2024-10807MEDIUMPHPGurukul Hospital Management System search.php cross site scriptingEPSS 0.4%CVE-2024-8101HIGHStored XSS in aimhubio/aimEPSS 0.4%CVE-2025-64054CRITICALA reflected Cross Site Scripting (XSS) vulnerability on Fanvil x210 2.12.20 devices allows attackers to cause a denial of service or potentiEPSS 0.4%CVE-2026-3375HIGHLiteSpeed Cache <= 7.7 - Unauthenticated Stored Cross-Site Scripting via QUIC.cloud CCSS/UCSS REST API EndpointsEPSS 0.4%CVE-2023-30742MEDIUMCross-Site Scripting (XSS) vulnerability in SAP CRM (WebClient UI)EPSS 0.4%CVE-2024-0895MEDIUMPDF Flipbook, 3D Flipbook – DearFlip <= 2.2.26 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2022-44726MEDIUMThe TouchDown Timesheet tracking component 4.1.4 for Jira allows XSS in the calendar view.EPSS 0.4%CVE-2024-9952MEDIUMSourceCodester Online Eyewear Shop Contact Information Page contact_info cross site scriptingEPSS 0.4%CVE-2024-10199MEDIUMcode-projects Pharmacy Management System Manage Medicines Page manage_medicine.php cross site scriptingEPSS 0.4%CVE-2025-59526LOWMailgen: HTML injection vulnerability in plaintext e-mailsEPSS 0.4%CVE-2026-44727CRITICALJupyter Server: Stored XSS in `NbconvertFileHandler` / `NbconvertPostHandler` via missing `sandbox` CSPEPSS 0.4%CVE-2026-26022HIGHGogs: Stored XSS via data URI in issue commentsEPSS 0.4%CVE-2026-48550MEDIUMNagios Core / XI cmd.cgi Reflected XSS via NagFormId ParameterEPSS 0.4%CVE-2024-10198MEDIUMcode-projects Pharmacy Management System Manage Customer Page manage_customer.php cross site scriptingEPSS 0.4%CVE-2024-25208MEDIUMBarangay Population Monitoring System v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in the Add Resident functionEPSS 0.4%CVE-2024-7309MEDIUMSourceCodester Record Management System entry.php cross site scriptingEPSS 0.4%