Falhas do tipo CWE-79

29.926 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-32598HIGHWordPress WP Table Builder plugin <= 2.0.5 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-4406MEDIUMGravity Forms <= 2.9.30 - Reflected Cross-Site Scripting via 'form_ids' ParameterEPSS 0.4%CVE-2025-1190MEDIUMcode-projects Job Recruitment load_user-profile.php cross site scriptingEPSS 0.4%CVE-2024-33639MEDIUMWordPress PopupAlly plugin <= 2.1.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2026-14472MEDIUMKubio AI Page Builder <= 2.8.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via kubio/copyright Block ContentEPSS 0.4%CVE-2023-3831LOWBug Finder Finounce Ticket create cross site scriptingEPSS 0.4%CVE-2024-5199MEDIUMSpotify Play Button <= 1.0 - Contributor+ Stored XSSEPSS 0.4%CVE-2026-11798MEDIUMSocial Share, Social Login and Social Comments Plugin <= 7.14.5 - Reflected Cross-Site Scripting via 'heateor_mastodon_share' ParameterEPSS 0.4%CVE-2024-29776MEDIUMWordPress EventPrime plugin <= 3.3.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2025-12163MEDIUMOmnipress <= 1.6.5 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.4%CVE-2023-34423MEDIUMSurvey Maker prior to 3.6.4 contains a stored cross-site scripting vulnerability. If this vulnerability is exploited, an arbitrary script maEPSS 0.4%CVE-2026-18344MEDIUMResponsive Thumbnail Slider < 1.1.53 - Reflected Cross-Site Scripting via 'id' ParameterEPSS 0.4%CVE-2026-38949HIGHCross-Site Scripting (XSS) vulnerability exists in HTMLy version 3.1.1 in the content creation functionality at the /add/content?type=image EPSS 0.4%CVE-2023-3538LOWSimplePHPscripts Photo Gallery PHP URL Parameter preview.php cross site scriptingEPSS 0.4%CVE-2026-76128MEDIUMeCommerce Product Catalog <= 3.5.10 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'style' Shortcode AttributeEPSS 0.4%CVE-2026-15285MEDIUMThe Plus Addons for Elementor <= 6.4.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button Widget Custom AttributesEPSS 0.4%CVE-2026-82451MEDIUMFormwork < 2.3.11 Stored XSS via Referer HeaderEPSS 0.4%CVE-2026-94210MEDIUMHyve5 Leantime Kanban Board Tickets.php getAllGrouped cross site scriptingEPSS 0.4%CVE-2026-34530MEDIUMFile Browser is vulnerable to Stored Cross-Site Scripting via text/template branding injectionEPSS 0.4%CVE-2024-11378MEDIUMBizapp for WooCommerce <= 2.0.8 - Reflected Cross-Site ScriptingEPSS 0.4%