Falhas do tipo CWE-79

29.916 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-46954MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.4%CVE-2023-4371LOWphpRecDB index.php cross site scriptingEPSS 0.4%CVE-2025-46933MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2023-3830LOWBug Finder SASS BILLER store cross site scriptingEPSS 0.4%CVE-2025-46935MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2025-46908MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2025-10411MEDIUMitsourcecode E-Logbook with Health Monitoring System for COVID-19 POST Request check_profile.php cross site scriptingEPSS 0.4%CVE-2025-46941MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2023-26599MEDIUMXSS vulnerability in TripleSign in Tripleplay Platform releases prior to Caveman 3.4.0 allows attackers to inject client-side code to run asEPSS 0.4%CVE-2023-3683LOWLivelyWorks Articart search cross site scriptingEPSS 0.4%CVE-2025-46880MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2023-3945LOWphpscriptpoint Lawyer search.php cross site scriptingEPSS 0.4%CVE-2024-30483MEDIUMWordPress Sponsors plugin <= 3.5.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2023-2044LOWControl iD iDSecure Dispositivos Page cross site scriptingEPSS 0.4%CVE-2024-3345MEDIUMShopLentor <= 2.8.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via woolentorsearch ShortcodeEPSS 0.4%CVE-2024-11329MEDIUMComfino Payment Gateway <= 4.1.1 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2026-6642MEDIUMMedia Library Assistant <= 3.35 - Authenticated (Author+) Stored Cross-Site Scripting via Bulk Edit Preset Export/ImportEPSS 0.4%CVE-2025-46881MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2026-6916MEDIUMJeg Kit for Elementor <= 3.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'sg_content_number_prefix' Shortcode AttributeEPSS 0.4%CVE-2024-52459HIGHWordPress Chameleoni Jobs plugin <= 2.5.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%