Falhas do tipo CWE-79

30.100 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-1654MEDIUMPeter's Date Countdown <= 2.0.0 - Reflected Cross-Site Scripting via $_SERVER['PHP_SELF']EPSS 0.3%CVE-2026-25734MEDIUMRucio WebUI has Stored Cross-site Scripting (XSS) in RSE MetadataEPSS 0.3%CVE-2024-27966MEDIUMWordPress Quiz And Survey Master plugin <= 8.2.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-6613MEDIUMPHPGurukul Hospital Management System manage-patient.php cross site scriptingEPSS 0.3%CVE-2026-59710MEDIUMshowdown - Stored XSS via Unescaped Table Header ID Attribute InjectionEPSS 0.3%CVE-2026-45753LOWSymfony: HtmlSanitizer UrlAttributeSanitizer Omits action/formaction/poster/cite — javascript: URI Survives Sanitization (XSS)EPSS 0.3%CVE-2023-32790MEDIUMXSS on NXLog Manager EPSS 0.3%CVE-2024-33693MEDIUMWordPress Meks Smart Social Widget plugin <= 1.6.4 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-33694MEDIUMWordPress Meks ThemeForest Smart Widget plugin <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-54714MEDIUMLogto: XSS via unescaped RelayState in SAML auto-submit formEPSS 0.3%CVE-2024-32591MEDIUMWordPress Backend Designer plugin <= 1.3 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-25736MEDIUMRucio WebUI has a Stored Cross-site Scripting (XSS) Vulnerability in its Custom RSE AttributeEPSS 0.3%CVE-2026-0858MEDIUMVersions of the package net.sourceforge.plantuml:plantuml before 1.2026.0 are vulnerable to Stored XSS due to insufficient sanitization of iEPSS 0.3%CVE-2024-33940MEDIUMWordPress EventON plugin <= 2.2.14 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-1114MEDIUMnewbee-mall Add Category Page save cross site scriptingEPSS 0.3%CVE-2024-33697MEDIUMWordPress CF7 File Download plugin <= 2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-34574MEDIUMWordPress Table Maker plugin <= 1.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-64392MEDIUMThis vulnerability in Veeam Backup Enterprise Manager allows an attacker to execute script in the browser of a portal user who opens a craftEPSS 0.3%CVE-2026-69116MEDIUMFlyEnv < 4.18.0 Cross-Site Scripting via v-htmlEPSS 0.3%CVE-2026-88976MEDIUM@platejs/core HTML deserialization can trigger browser behavior during parsingEPSS 0.3%