Falhas do tipo CWE-79

29.818 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2022-45137MEDIUMWAGO: Reflective Cross-Site ScriptingEPSS 0.4%CVE-2025-1817MEDIUMMini-Tmall Admin Name admin cross site scriptingEPSS 0.4%CVE-2024-9610MEDIUMLanguage Switcher <= 3.7.13 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2023-22856HIGHStored cross-site scripting in BlogEngine.NET version 3.3.8.0EPSS 0.4%CVE-2024-29124MEDIUMWordPress Advanced Access Manager plugin <= 6.9.20 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-9670MEDIUM2D Tag Cloud <= 6.0.2 - Reflected Cross-Site Scripting via add_query_arg ParameterEPSS 0.4%CVE-2024-5218MEDIUMReviews and Rating – Google Reviews <= 5.2 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2026-86799HIGHForms < 3.0.2 - Unauthenticated Stored XSS via Form SubmissionEPSS 0.4%CVE-2024-24881HIGHWordPress WP SMS Plugin <= 6.5.2 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2022-22352MEDIUMIBM Sterling B2B Integrator Standard Edition cross-site scriptingEPSS 0.4%CVE-2026-15730MEDIUMGamiPress <= 7.9.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'heading_size' Shortcode AttributeEPSS 0.4%CVE-2024-9346MEDIUMEmbed videos and respect privacy <= 1.2 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2024-24879HIGHWordPress Link Library Plugin <= 7.5.13 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2023-38255MEDIUMSocomec MOD3GP-SY-120K Cross-site ScriptingEPSS 0.4%CVE-2026-9626MEDIUMJSON API User <= 4.1.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'content' ParameterEPSS 0.4%CVE-2024-25224MEDIUMA cross-site scripting (XSS) vulnerability in Simple Admin Panel App v1.0 allows attackers to execute arbitrary web scripts or HTML via a crEPSS 0.4%CVE-2024-28001HIGHWordPress Favicon Rotator plugin <= 1.2.10 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-30447HIGHWordPress Creative Image Slider plugin <= 2.1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-28002HIGHWordPress Cornerstone plugin <= 0.8.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-9344MEDIUMBerqWP – Automated All-In-One PageSpeed Optimization Plugin for Core Web Vitals, Cache, CDN, Images, CSS, and JavaScript <= 2.1.1 - Reflected Cross-Site ScriptingEPSS 0.4%