Falhas do tipo CWE-79

30.021 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-25506MEDIUMCross Site Scripting vulnerability in Process Maker, Inc ProcessMaker before 4.0 allows a remote attacker to run arbitrary code via control EPSS 0.3%CVE-2024-11888MEDIUMIDer Login for WordPress <= 2.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2023-26220MEDIUMTIBCO Spotfire Stored Cross-site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-41663LOWCanarytoken "Cloned Website" Vulnerable to Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-1904MEDIUMcode-projects Blood Bank System A+.php cross site scriptingEPSS 0.3%CVE-2024-2656MEDIUMIcegram Express <= 5.7.14 - Authenticated (Administrator+) Cross-Site Scripting via CSV importEPSS 0.3%CVE-2021-47836MEDIUMMarkdown Explorer 0.1.1 - Persistent Cross-Site ScriptingEPSS 0.3%CVE-2026-53472MEDIUMMigration-planner: credentialurl validator accepts javascript: urlsEPSS 0.3%CVE-2024-57348MEDIUMCross Site Scripting vulnerability in PecanProject pecan through v.1.8.0 allows a remote attacker to execute arbitrary code via the crafted EPSS 0.3%CVE-2023-43378MEDIUMA cross-site scripting (XSS) vulnerability in Hoteldruid v3.0.5 allows attackers to execute arbitrary web scripts or HTML via a crafted paylEPSS 0.3%CVE-2023-3332—Improper Neutralization of Input During Web Page Generation vulnerability in NEC Corporation Aterm Aterm WG2600HP2, WG2600HP, WG2200HP, WG18EPSS 0.3%CVE-2024-5478HIGHCross-site Scripting (XSS) in SAML metadata endpoint in lunary-ai/lunaryEPSS 0.3%CVE-2026-59102LOWForgejo < 15.0.3 - Stored XSS via Actions Run Full Name RenderingEPSS 0.3%CVE-2020-37103MEDIUMDotNetNuke 9.5 - Persistent Cross-Site ScriptingEPSS 0.3%CVE-2025-2085MEDIUMStarSea99 starsea-mall save cross site scriptingEPSS 0.3%CVE-2024-10719LOWStored Cross-site Scripting (XSS) in phpipam/phpipamEPSS 0.3%CVE-2025-65267CRITICALIn ERPNext v15.83.2 and Frappe Framework v15.86.0, improper validation of uploaded SVG avatar images allows attackers to embed malicious JavEPSS 0.3%CVE-2024-25399MEDIUMSubrion CMS 4.2.1 is vulnerable to Cross Site Scripting (XSS) via adminer.php.EPSS 0.3%CVE-2024-12203MEDIUMRSS Icon Widget <= 5.2 - Authenticated (Administrator+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11892MEDIUMAccordion Slider Lite <= 1.5.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%