Falhas do tipo CWE-79

29.864 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-47047MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.4%CVE-2021-47750MEDIUMYouPHPTube <= 7.8 - Cross-Site ScriptingEPSS 0.4%CVE-2023-1688LOWSourceCodester Earnings and Expense Tracker App cross site scriptingEPSS 0.4%CVE-2024-4866MEDIUMUltraAddons – Elementor Addons (Header Footer Builder, Custom Font, Custom CSS,Woo Widget, Menu Builder, Anywhere Elementor Shortcode) <= 1.1.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple WidgetsEPSS 0.4%CVE-2025-5378MEDIUMAstun Technology iShare Maps mycouncil2.aspx cross site scriptingEPSS 0.4%CVE-2024-13156MEDIUMHTML5 Video Player – mp4 Video Player Plugin and Block <= 2.5.35 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via heading ParameterEPSS 0.4%CVE-2023-1689LOWSourceCodester Earnings and Expense Tracker App cross site scriptingEPSS 0.4%CVE-2026-88209MEDIUMMicrosoft Office SharePoint Spoofing VulnerabilityEPSS 0.4%CVE-2024-13401MEDIUMPayment Button for PayPal <= 1.2.3.35 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2025-7500MEDIUMOcean Social Sharing <= 2.2.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2024-9376MEDIUMKata Plus – Addons for Elementor – Widgets, Extensions and Templates <= 1.4.7 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.4%CVE-2025-54967MEDIUMAn issue was discovered in BAE SOCET GXP before 4.6.0.3. It permits external entities in certain XML-based files. An attacker who is able toEPSS 0.4%CVE-2023-3855LOWphpscriptpoint JobSeeker search-result.php cross site scriptingEPSS 0.4%CVE-2024-12517MEDIUMWooCommerce Cart Count Shortcode <= 1.0.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-3757LOWGZ Scripts Car Rental Script cross site scriptingEPSS 0.4%CVE-2025-46338MEDIUMAudiobookshelf Vulnerable to Cross-Site-Scripting Reflected via POST Request in /api/uploadEPSS 0.4%CVE-2025-47115MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2023-46066MEDIUMWordPress Mediabay Plugin <= 1.6 is vulnerable to Cross Site Scripting (XSS)EPSS 0.4%CVE-2024-9967MEDIUMWP show more <= 1.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via show_more ShortcodeEPSS 0.4%CVE-2025-8786MEDIUMPortabilis i-Diario Registro das atividades registros-de-conteudos-por-areas-de-conhecimento cross site scriptingEPSS 0.4%