Falhas do tipo CWE-79

30.673 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2021-39343MEDIUMMPL-Publisher – Self-publish your book & ebook <= 1.30.2 Authenticated Stored Cross-Site ScriptingEPSS 1.0%CVE-2021-39329MEDIUMJobBoardWP – Job Board Listings and Submissions <= 1.0.7 Authenticated Stored Cross-Site ScriptingEPSS 1.0%CVE-2021-35239HIGHStored XSS in Maps text box hyperlink VulnerabilityEPSS 1.0%CVE-2026-88804CRITICALUnauthenticated update of public UI settings leading to stored cross-site scripting in RancherEPSS 1.0%CVE-2020-2495—Cross-site scripting vulnerability in QTS and QuTS heroEPSS 1.0%CVE-2021-4289LOWOpenMRS openmrs-module-referenceapplication User App Page UserAppPageController.java post cross site scriptingEPSS 1.0%CVE-2022-24814HIGHCross-site Scripting in DirectusEPSS 1.0%CVE-2024-26143MEDIUMRails Possible XSS Vulnerability in Action ControllerEPSS 1.0%CVE-2023-36881MEDIUMAzure Apache Ambari Spoofing VulnerabilityEPSS 1.0%CVE-2023-36877MEDIUMAzure Apache Oozie Spoofing VulnerabilityEPSS 1.0%CVE-2020-1771MEDIUMPossible XSS in Customer user address bookEPSS 1.0%CVE-2021-33351CRITICALCross Site Scripting Vulnerability in Wyomind Help Desk Magento 2 extension v.1.3.6 and before and fixed in v.1.3.7 allows attackers to escaEPSS 1.0%CVE-2020-7318MEDIUMePolicy Orchistrator (ePO) - Cross-Site Scripting vulnerabilityEPSS 1.0%CVE-2023-48104MEDIUMAlinto SOGo before 5.9.1 is vulnerable to HTML Injection.EPSS 1.0%CVE-2025-14340HIGHAdmin Account Takeover via malicious URL payloadEPSS 1.0%CVE-2023-32961HIGHWordPress Zotpress Plugin <= 7.3.3 is vulnerable to Cross Site Scripting (XSS)EPSS 1.0%CVE-2018-3818—Kibana versions 5.1.1 to 6.1.2 and 5.6.6 had a cross-site scripting (XSS) vulnerability via the colored fields formatter that could allow anEPSS 1.0%CVE-2017-16009—ag-grid is an advanced data grid that is library agnostic. ag-grid is vulnerable to Cross-site Scripting (XSS) via Angular Expressions, if AEPSS 1.0%CVE-2020-15273HIGHCross-Site Scripting in baserCMSEPSS 1.0%CVE-2022-39207MEDIUMPersistent XSS in OneDevEPSS 1.0%