Falhas do tipo CWE-79

30.092 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-30436MEDIUMWordPress Collect.chat plugin <= 2.4.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-31111MEDIUMWordPress Core < 6.5.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-2139MEDIUMMaster Addons for Elementor <= 2.0.5.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Pricing Table WidgetEPSS 0.3%CVE-2024-2108MEDIUMNinja Forms Contact Form – The Drag and Drop Form Builder for WordPress <= 3.8.0 - Authenticated (Author+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-29134MEDIUMWordPress Tourfic plugin <= 2.11.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-2170MEDIUMVK All in One Expansion Unit <= 9.96.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via classNameEPSS 0.3%CVE-2024-5425MEDIUMWP jQuery Lightbox <= 1.5.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via title AttributeEPSS 0.3%CVE-2023-52048MEDIUMRuoYi v4.7.8 was discovered to contain a cross-site scripting (XSS) vulnerability via the component /system/notice/.EPSS 0.3%CVE-2024-4339MEDIUMPrime Slider – Addons For Elementor (Revolution of a slider, Hero Slider, Ecommerce Slider) <= 3.14.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-3890MEDIUMHappy Addons for Elementor <= 3.10.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Calendly WidgetEPSS 0.3%CVE-2023-32122MEDIUMWordPress Spiffy Calendar Plugin <= 4.9.3 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2025-0506MEDIUMRise Blocks – A Complete Gutenberg Page Builder <= 3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via TitleTag ParameterEPSS 0.3%CVE-2024-28784MEDIUMIBM QRadar cross-site scriptingEPSS 0.3%CVE-2025-0483MEDIUMFanli2012 native-php-cms jump.php cross site scriptingEPSS 0.3%CVE-2024-50335MEDIUMAuthenticated XSS in "Publish Key" Field Allowing Unauthorized Administrator User Creation in SuiteCRMEPSS 0.3%CVE-2024-2491MEDIUMPowerPack Addons for Elementor <= 2.7.17 - Authenticated (Contributor+) Stored Cross-Site Scripting via *_html_tag*EPSS 0.3%CVE-2024-2289MEDIUMPowerPack Lite for Beaver Builder <= 1.3.0 - Authenticated(Contributor+) Stored Cross-Site Scripting via element linkEPSS 0.3%CVE-2024-2936MEDIUMSydney Toolbox <= 1.26 - Authenticated (Contributor+) Stored Cross-Site Scripting via _idEPSS 0.3%CVE-2026-87760HIGHWeb Vitals Tracking <= 5.4.2 - Unauthenticated Stored XSS via Tracking Beacon Metric NameEPSS 0.3%CVE-2024-56409HIGHPhpSpreadsheet vulnerable to unauthorized reflected XSS in Currency.php fileEPSS 0.3%