Falhas do tipo CWE-79

29.611 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-100643HIGHSiYuan before v3.8.4 Stored XSS via Attribute View textareaEPSS 0.4%CVE-2024-11431MEDIUMRagic Shortcode <= 1.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2022-47137MEDIUMWordPress Ninja Tables Plugin <= 4.3.4 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2019-25376MEDIUMOPNsense 19.1 Reflected XSS via proxy endpointEPSS 0.4%CVE-2014-125111LOWnamithjawahar Wp-Insert cross site scriptingEPSS 0.4%CVE-2024-24059MEDIUMspringboot-manager v1.6 is vulnerable to Arbitrary File Upload. The system does not filter the suffixes of uploaded files.EPSS 0.4%CVE-2021-47699MEDIUMNagios XI < 5.8.7 XSS in Audit Log via Send to NLS FormEPSS 0.4%CVE-2025-3297MEDIUMSourceCodester Online Eyewear Shop Master.php cross site scriptingEPSS 0.4%CVE-2026-31938CRITICALjsPDF has HTML Injection in New Window pathsEPSS 0.4%CVE-2023-4308HIGHUser Submitted Posts <= 20230809 - Unauthenticated Stored Cross-Site Scripting via 'user-submitted-content'EPSS 0.4%CVE-2024-2593HIGHCross-Site Scripting (XSS) in AMSS++EPSS 0.4%CVE-2024-2500MEDIUMColorMag <= 3.1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Display NameEPSS 0.4%CVE-2018-25121MEDIUMNagios XI < 5.4.13 XSS via Views PageEPSS 0.4%CVE-2024-8002MEDIUMVIWIS LMS File Upload cross site scriptingEPSS 0.4%CVE-2025-11184MEDIUMCross-Site Scripting Vulnerability in QWC2 Registration GUIEPSS 0.4%CVE-2019-25407MEDIUMComodo Dome Firewall 2.7.0 Cross-Site Scripting via backupscheduleEPSS 0.4%CVE-2024-4370MEDIUMWPZOOM Addons for Elementor (Templates, Widgets) <= 1.1.36 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image Box WidgetEPSS 0.4%CVE-2023-1704MEDIUMCross-site Scripting (XSS) - Stored in pimcore/pimcoreEPSS 0.4%CVE-2025-5015HIGHParsons AccuWeather Widget Cross-site ScriptingEPSS 0.4%CVE-2026-4278MEDIUMSimple Download Counter <= 2.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'text' Shortcode AttributeEPSS 0.4%