Falhas do tipo CWE-79

29.818 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-30441HIGHWordPress Combo Blocks plugin <= 2.2.74 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-34913MEDIUMAn arbitrary file upload vulnerability in r-pan-scaffolding v5.0 and below allows attackers to execute arbitrary code via uploading a crafteEPSS 0.4%CVE-2024-10184MEDIUMSW Kick Integration - Blocks and Shortcodes for Embedding Kick Streams <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via sw-kick-embed ShortcodeEPSS 0.4%CVE-2024-29121HIGHWordPress WooCommerce License Manager plugin <= 5.3.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-40663MEDIUMStored Cross-Site Scripting (XSS) in i2A-Cronos by i2AEPSS 0.4%CVE-2025-30539MEDIUMWordPress BMo Expo plugin <= 1.0.15 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-6695MEDIUMLabRedesCefetRJ WeGIA Additional Categoria adicionar_categoria.php cross site scriptingEPSS 0.4%CVE-2024-29097MEDIUMWordPress User profile plugin <= 2.0.20 - Subscriber+ Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-30545MEDIUMWordPress issuuPress plugin <= 1.3.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-6697MEDIUMLabRedesCefetRJ WeGIA Adicionar tipo adicionar_tipoEntrada.php cross site scriptingEPSS 0.4%CVE-2024-10181MEDIUMNewsletters <= 4.9.9.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via newsletters_video ShortcodeEPSS 0.4%CVE-2023-2767MEDIUMWordPress File Upload / WordPress File Upload Pro <= 4.19.1 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2025-40633MEDIUMStored Cross-Site Scripting (XSS) in KoiboxEPSS 0.4%CVE-2024-11770MEDIUMPost Carousel & Slider <= 1.0.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2025-30530MEDIUMWordPress AI Preloader plugin <= 1.0.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-1384MEDIUMPremium Portfolio Features for Phlox theme <= 2.3.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-37783MEDIUMA reflected cross-site scripting (XSS) vulnerability in Gladinet CentreStack v13.12.9934.54690 allows attackers to inject malicious JavaScriEPSS 0.4%CVE-2023-25928MEDIUMIBM InfoSphere Information Server cross-site scriptingEPSS 0.4%CVE-2026-69092MEDIUMAdmidio before 5.0.11 Reflected XSS via SSO/SAML EndpointEPSS 0.4%CVE-2025-27800MEDIUMStored Cross-Site Scripting in Episerver Content Management System (CMS) Admin DashboardEPSS 0.4%