Falhas do tipo CWE-79

30.025 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-12699MEDIUMService Box <= 1.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-8545MEDIUMPortabilis i-Educar educar_motivo_afastamento_cad.php cross site scriptingEPSS 0.3%CVE-2024-11899MEDIUMSlider Pro Lite <= 1.4.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-32599HIGHWordPress Task Scheduler Plugin <= 1.6.3 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9045MEDIUMEasy Elementor Addons <= 2.2.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-24675MEDIUMWordPress WP Visitor Statistics (Real Time Traffic) plugin <= 7.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-32586HIGHWordPress ABA PayWay Payment Gateway for WooCommerce Plugin <= 2.1.4 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-30800MEDIUMWordPress Gum Elementor Addon plugin <= 1.3.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-11877MEDIUMCricket Live Score <= 2.0.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-2491MEDIUMDromara ujcms Edit Template File Page WebFileTemplateController.java update cross site scriptingEPSS 0.3%CVE-2025-8544MEDIUMPortabilis i-Educar edit cross site scriptingEPSS 0.3%CVE-2025-32600HIGHWordPress Tournamatch plugin <= 4.7.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-2374HIGHLogin No Captcha reCAPTCHA <= 1.8.0 - Unauthenticated Stored Cross-Site Scripting via PHP_SELFEPSS 0.3%CVE-2025-23579MEDIUMWordPress DZS Ajaxer Lite plugin <= 1.04 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-24687MEDIUMWordPress Show/Hide Shortcode plugin <= 1.0.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-9270MEDIUMLenxel Core for Lenxel(LNX) LMS <= 1.2.3 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2024-11758MEDIUMWP SPID Italia <= 2.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-12445MEDIUMRightMessage WP <= 0.9.7 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-46995MEDIUMbaserCMS has Cross-site Scripting Vulnerability in HTTP 400 Bad RequestEPSS 0.3%CVE-2019-6697MEDIUMAn Improper Neutralization of Input vulnerability affecting FortiGate version 6.2.0 through 6.2.1, 6.0.0 through 6.0.6 in the hostname paramEPSS 0.3%