Falhas do tipo CWE-79

29.829 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-1294HIGHeForm <= 4.18.0 - Unauthenticated Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-23647MEDIUMWordPress Team Member Plugin <= 4.4 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2026-110847HIGHn8n before 1.123.83, 2.41.4, and 2.42.1 Stored XSS via Chat Trigger customCss ParameterEPSS 0.4%CVE-2026-89253CRITICALAVideo Stored XSS via donationLink in watch page buttonEPSS 0.4%CVE-2025-0537MEDIUMcode-projects Car Rental Management System manage-pages.php cross site scriptingEPSS 0.4%CVE-2026-48026HIGHlakeFS vulnerable to stored XSS in rendered markdown previews via raw HTMLEPSS 0.4%CVE-2024-28096HIGHStored Cross-site Scripting in Class functionality in SchoolboxEPSS 0.4%CVE-2024-50546MEDIUMWordPress MyOrderDesk plugin <= 3.2.6 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-2971MEDIUMa466350665 Smart-SSO Login login.html cross site scriptingEPSS 0.4%CVE-2024-51822MEDIUMWordPress Creative Blocks plugin <= 1.0.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-51841MEDIUMWordPress File Select Control For Elementor plugin <= 1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-66296MEDIUMReflected XSS in oaskit's default HTML error handlerEPSS 0.4%CVE-2025-20367MEDIUMReflected Cross-site Scripting (XSS) in '/app/search/table' endpoint through the 'dataset.command' parameter on Splunk EnterpriseEPSS 0.4%CVE-2026-89255CRITICALAVideo LoginControl Stored XSS via PGP Public KeyEPSS 0.4%CVE-2024-51807MEDIUMWordPress AgendaPress plugin <= 1.0.8 - Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-87811HIGHSiYuan before v3.8.2 Stored XSS via notebook template pathsEPSS 0.4%CVE-2024-29473MEDIUMOneBlog v2.3.4 was discovered to contain a stored cross-site scripting (XSS) vulnerability via the Role Management module.EPSS 0.4%CVE-2024-43369HIGHPersistent Cross-site Scripting in Ibexa RichText Field TypeEPSS 0.4%CVE-2026-3028MEDIUMerzhongxmu JEEWMS JeecgListDemoController.java doAdd cross site scriptingEPSS 0.4%CVE-2024-21745MEDIUMWordPress Laybuy Payment Extension for WooCommerce Plugin <= 5.3.9 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%