Falhas do tipo CWE-79

29.951 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-41653HIGHBentoPDF: Stored XSS via Markdown Editor Leading to Persistent File ExfiltrationEPSS 0.4%CVE-2023-53870MEDIUMJorani 1.0.3 Cross-Site Scripting Vulnerability via Language ParameterEPSS 0.4%CVE-2026-9620MEDIUMWP Latest Posts <= 5.0.11 - Authenticated (Author+) Stored Cross-Site Scripting via Post Content Image src AttributeEPSS 0.4%CVE-2024-29112MEDIUMWordPress WooCommerce Google Feed Manager plugin <= 2.2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.4%CVE-2024-11375MEDIUMWC1C <= 0.23.0 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2024-11378MEDIUMBizapp for WooCommerce <= 2.0.8 - Reflected Cross-Site ScriptingEPSS 0.4%CVE-2026-2154MEDIUMSourceCodester/Patrick Mvuma Patients Waiting Area Queue Management System Patient Registration registration.php cross site scriptingEPSS 0.4%CVE-2026-82451MEDIUMFormwork < 2.3.11 Stored XSS via Referer HeaderEPSS 0.4%CVE-2025-5713MEDIUMSoluçõesCoop iSoluçõesWEB Flow fluxos-dashboard cross site scriptingEPSS 0.4%CVE-2024-42699MEDIUMCross Site Scripting vulnerability in Create/Modify article function in Alkacon OpenCMS 17.0 allows remote attacker to inject javascript payEPSS 0.4%CVE-2026-2422MEDIUMWP Composer <= 1.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'pbwp_raw_shortcode' ShortcodeEPSS 0.4%CVE-2024-10646HIGHContact Form Plugin by Fluent Forms for Quiz, Survey, and Drag & Drop WP Form Builder <= 5.2.6 - Unauthenticated Stored Cross-Site Scripting via Form SubjectEPSS 0.4%CVE-2026-90563MEDIUMmaliangnansheng bbs-springboot ArticleController.java utils.toToc cross site scriptingEPSS 0.4%CVE-2026-34530MEDIUMFile Browser is vulnerable to Stored Cross-Site Scripting via text/template branding injectionEPSS 0.4%CVE-2026-94210MEDIUMHyve5 Leantime Kanban Board Tickets.php getAllGrouped cross site scriptingEPSS 0.4%CVE-2023-53882MEDIUMJLex GuestBook 1.6.4 Reflected Cross-Site Scripting via URL ParameterEPSS 0.4%CVE-2024-8029MEDIUMStored XSS in imartinez/privategptEPSS 0.4%CVE-2025-12920MEDIUMqianfox FoxCMS Product.php edit cross site scriptingEPSS 0.4%CVE-2026-38444MEDIUMosTicket v1.18.3 is vulnerable to Stored Cross-Site Scripting (XSS) via the email From-header display name. The value is extracted without sEPSS 0.4%CVE-2025-14118MEDIUMStarred Review <= 1.4.2 - Reflected Cross-Site Scripting via PHP_SELF VariableEPSS 0.4%