Falhas do tipo CWE-79

29.607 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-2000MEDIUMPremium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multi Scroll WidgetEPSS 0.4%CVE-2024-3308MEDIUMHT Mega – Absolute Addons For Elementor <= 2.4.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image Grid WidgetEPSS 0.4%CVE-2023-4496MEDIUMEasy Chat Server XSS vulnerabilityEPSS 0.4%CVE-2024-2237MEDIUMPremium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Global Badge ModuleEPSS 0.4%CVE-2023-23024MEDIUMBook Store Management System v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in /bsms_ci/index.php/book. This vulnEPSS 0.4%CVE-2022-44960MEDIUMwebtareas 2.4p5 was discovered to contain a cross-site scripting (XSS) vulnerability in the component /general/search.php?searchtype=simple.EPSS 0.4%CVE-2026-59214HIGHOpen WebUI: Stored web worker XSS via PyodideEPSS 0.4%CVE-2025-5975MEDIUMPHPGurukul Rail Pass Management System download-pass.php cross site scriptingEPSS 0.4%CVE-2026-48398MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.4%CVE-2024-1411MEDIUMPowerPack Addons for Elementor <= 2.7.15 - Authenticated (Contributor+) Stored Cross-Site Scripting via Twitter Buttons WidgetEPSS 0.4%CVE-2023-4492MEDIUMEasy Address Book Web Server XSS vulnerabilityEPSS 0.4%CVE-2024-36577HIGHapphp js-object-resolver < 3.1.1 is vulnerable to Prototype Pollution via Module.setNestedProperty.EPSS 0.4%CVE-2024-2239MEDIUMPremium Addons PRO <= 2.9.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Premium Magic Scroll ModuleEPSS 0.4%CVE-2024-1458MEDIUMElementor Addons by Livemesh <= 8.3.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Animated Text WidgetEPSS 0.4%CVE-2024-37396MEDIUMA stored cross-site scripting (XSS) vulnerability in the Calendar function of REDCap 13.1.9 allows authenticated users to execute arbitrary EPSS 0.4%CVE-2024-8400MEDIUMStored XSS in gaizhenbiao/chuanhuchatgptEPSS 0.4%CVE-2024-3725MEDIUMOtter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE <= 2.6.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'titleTag'EPSS 0.4%CVE-2023-32670CRITICALBuddyBoss XSS vulnerabilityEPSS 0.4%CVE-2024-0954MEDIUMEssential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-2286MEDIUMSky Addons for Elementor <= 2.4.0 - Authenticated(Contributor+) Stored Cross-site scripting via Wrapper Link URLEPSS 0.4%