Falhas do tipo CWE-79

29.818 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-33548HIGHWordPress WZone plugin <= 14.0.10 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-5410MEDIUMRedux Framework <= 4.5.13 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Spinner Field InputEPSS 0.4%CVE-2026-33080HIGHFilament: Unvalidated Range and Values summarizer values can be used for XSSEPSS 0.4%CVE-2026-15730MEDIUMGamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'heading_size' Shortcode AttributeEPSS 0.4%CVE-2024-8724MEDIUMWaitlist Woocommerce ( Back in stock notifier ) <= 2.7.5 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2024-1239MEDIUMElementsKit Elementor addons <= 3.0.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-22856HIGHStored cross-site scripting in BlogEngine.NET version 3.3.8.0EPSS 0.4%CVE-2024-29124MEDIUMWordPress Advanced Access Manager plugin <= 6.9.20 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2022-22352MEDIUMIBM Sterling B2B Integrator Standard Edition cross-site scriptingEPSS 0.4%CVE-2024-9670MEDIUM2D Tag Cloud <= 6.0.2 - Reflected Cross-Site Scripting via add_query_arg ParameterEPSS 0.4%CVE-2026-86799HIGHForms < 3.0.2 - Unauthenticated Stored XSS via Form SubmissionEPSS 0.4%CVE-2025-1817MEDIUMMini-Tmall Admin Name admin cross site scriptingEPSS 0.4%CVE-2022-45137MEDIUMWAGO: Reflective Cross-Site ScriptingEPSS 0.4%CVE-2024-51434MEDIUMInconsistent <plaintext> tag parsing allows for XSS in Froala WYSIWYG editor 4.3.0 and earlier.EPSS 0.4%CVE-2024-45717HIGHSolarWinds Platform Cross- Site Scripting VulnerabilityEPSS 0.4%CVE-2024-29767HIGHWordPress Doneren met Mollie plugin <= 2.10.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-60991HIGHA reflected cross-site scripted (XSS) vulnerability in Codazon Magento Themes v1.1.0.0 to v2.4.7 allows attackers to execute arbitrary JavasEPSS 0.4%CVE-2024-30449HIGHWordPress Booking Activities plugin <= 1.15.19 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-9346MEDIUMEmbed videos and respect privacy <= 1.2 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2023-23756—Extension - advcomsys.com - XSS in oneVote component for Joomla <= 1.7.0EPSS 0.4%