Falhas do tipo CWE-79

30.104 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-103662MEDIUMMISP Reflected XSS in Taxonomy Tag Confirmation FormsEPSS 0.3%CVE-2026-49210LOWSymfony UX: XSS in symfony/ux-live-component via attacker-controlled child component tagEPSS 0.3%CVE-2026-40507MEDIUMOpenEMR < 8.3.0 Reflected XSS via templateHtml Parameter in Patient PortalEPSS 0.3%CVE-2026-38446MEDIUMA stored cross-site scripting (XSS) vulnerability exists in osTicket 1.18.3 due to improper sanitization of the thread entry title field. UsEPSS 0.3%CVE-2023-32790MEDIUMXSS on NXLog Manager EPSS 0.3%CVE-2023-53880MEDIUMLucee 5.4.2.17 Authenticated Reflected Cross-Site Scripting via Admin InterfacesEPSS 0.3%CVE-2026-25736MEDIUMRucio WebUI has a Stored Cross-site Scripting (XSS) Vulnerability in its Custom RSE AttributeEPSS 0.3%CVE-2026-69116MEDIUMFlyEnv < 4.18.0 Cross-Site Scripting via v-htmlEPSS 0.3%CVE-2026-54717MEDIUMSilverstripe: XSS in breadcrumbs in page list viewEPSS 0.3%CVE-2024-33697MEDIUMWordPress CF7 File Download plugin <= 2.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-29182MEDIUMCollabora Online Stored Cross-Site-Scripting vulnerability via tooltipEPSS 0.3%CVE-2026-72925MEDIUMSWC HTML minifier may allow script element breakout when minifying embedded JSONEPSS 0.3%CVE-2024-10886MEDIUMTribute Testimonials – WordPress Testimonial Grid/Slider <= 1.0.4 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-32585MEDIUMWordPress Import Content in WordPress & WooCommerce with Excel plugin <= 4.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-34574MEDIUMWordPress Table Maker plugin <= 1.9.1 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-33694MEDIUMWordPress Meks ThemeForest Smart Widget plugin <= 1.5 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-1114MEDIUMnewbee-mall Add Category Page save cross site scriptingEPSS 0.3%CVE-2026-0858MEDIUMVersions of the package net.sourceforge.plantuml:plantuml before 1.2026.0 are vulnerable to Stored XSS due to insufficient sanitization of iEPSS 0.3%CVE-2026-88976MEDIUM@platejs/core HTML deserialization can trigger browser behavior during parsingEPSS 0.3%CVE-2023-2509HIGHA Cross-Site Scripting(XSS) vulnerability was found on ADMEPSS 0.3%