Falhas do tipo CWE-79

29.917 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-40649MEDIUMMúltiples vulnerabilidades en Negotiator de BBMRI-ERICEPSS 0.4%CVE-2025-46946MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.4%CVE-2026-5092MEDIUMGreenshift <= 12.8.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Data URIEPSS 0.4%CVE-2023-3541LOWThinuTech ThinuCMS author_posts.php cross site scriptingEPSS 0.4%CVE-2024-5647MEDIUMMultiple Plugins <= (Various Versions) - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Magnific Popups JavaScript LibraryEPSS 0.4%CVE-2024-9776MEDIUMImagePress - Image Gallery <= 1.2.2 - Authenticated (Administrator+) Stored Cross-Site Scripting via Plugin SettingsEPSS 0.4%CVE-2023-3835LOWBug Finder MineStack Ticket create cross site scriptingEPSS 0.4%CVE-2024-12060MEDIUMWP Media Optimizer (.webp) <= 1.4.0 - Reflected Cross-Site Scripting via wpmowebp-css-resources and wpmowebp-js-resources ParametersEPSS 0.4%CVE-2023-3540LOWSimplePHPscripts NewsLetter Script PHP URL Parameter preview.php cross site scriptingEPSS 0.4%CVE-2026-6641MEDIUMMedia Library Assistant <= 3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'mla_link_href' Shortcode ParameterEPSS 0.4%CVE-2024-45609MEDIUMGLPI has a Reflected XSS in /front/stat.graph.phpEPSS 0.4%CVE-2023-3537LOWSimplePHPscripts News Script PHP Pro URL Parameter preview.php cross site scriptingEPSS 0.4%CVE-2024-31448HIGHCross-site Scripting vulnerability in link CSV import in Combodo iTopEPSS 0.4%CVE-2026-18062MEDIUMKadence Blocks <= 3.7.8.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Identity Block Inner Image ContentEPSS 0.4%CVE-2024-12323MEDIUMturboSMTP <= 4.6 - Reflected Cross-Site Scripting via 'page'EPSS 0.4%CVE-2021-4195MEDIUMXSS in Firmanet Software and Technology Customer Relation ManagerEPSS 0.4%CVE-2025-46973MEDIUMAdobe Experience Manager | Cross-site Scripting (DOM-based XSS) (CWE-79)EPSS 0.4%CVE-2026-13733MEDIUMDownload Manager <= 3.3.60 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'no_data_msg' Shortcode AttributeEPSS 0.4%CVE-2026-18547MEDIUMUltimate Member <= 2.12.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via Textarea Profile Field with HTML Support (DOM Gadget via id Attribute)EPSS 0.4%CVE-2023-3794LOWBug Finder ChainCity Real Estate Investment Platform New Ticket create cross site scriptingEPSS 0.4%