Falhas do tipo CWE-79

30.184 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-15968HIGHStored XSS vulnerability in MOVEit TransferEPSS 0.3%CVE-2024-55488MEDIUMA stored cross-site scripting (XSS) vulnerability in Umbraco CMS v14.3.1 allows attackers to execute arbitrary web scripts or HTML via a craEPSS 0.3%CVE-2025-43229MEDIUMThis issue was addressed through improved state management. This issue is fixed in Safari 18.6, macOS Sequoia 15.6. Processing maliciously cEPSS 0.3%CVE-2024-5796MEDIUMInfinite <= 1.1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via project_url ParameterEPSS 0.3%CVE-2025-64049MEDIUMA stored cross-site scripting (XSS) vulnerability in the module management component in REDAXO CMS 5.20.0 allows remote users to inject arbiEPSS 0.3%CVE-2025-23037MEDIUMCross-Site Scripting (XSS) Stored endpoint 'control.php' parameter 'cargo' in WeGIAEPSS 0.3%CVE-2024-7204MEDIUMAi3 QbiBot - Stored XSSEPSS 0.3%CVE-2025-3157MEDIUMIntelbras WRN 150 Wireless Menu cross site scriptingEPSS 0.3%CVE-2025-7501MEDIUMWonder Slider Lite & Wonder Slider <= 14.4 - Authenticated (Contributor+) Dom-based Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-100175MEDIUMPostie <= 1.9.87 - Unauthenticated Stored Cross-Site Scripting via Email Body URL AutolinkEPSS 0.3%CVE-2026-41201CRITICALCI4MS: Backup Management Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM Blind XSS Version 2EPSS 0.3%CVE-2026-15653MEDIUMVisualizer <= 4.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'backend-title' ParameterEPSS 0.3%CVE-2026-76931MEDIUMZephyr Project Manager <= 3.3.205 - Authenticated (Custom+) Stored Cross-Site Scripting via 'message' ParameterEPSS 0.3%CVE-2026-7796MEDIUMEmbedPress <= 4.5.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Block 'url' AttributeEPSS 0.3%CVE-2025-55287HIGHGenealogy has a stored XSS vulnerabilityEPSS 0.3%CVE-2026-15394MEDIUMHeader Footer Script Adder <= 2.1 - Authenticated (Author+) Stored Cross-Site Scripting via 'asm_code' Snippet MetaEPSS 0.3%CVE-2026-1382MEDIUMfresh Podcaster <= 1.0.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'freshpodcaster' Shortcode AttributesEPSS 0.3%CVE-2024-29143MEDIUMWordPress Passwordless Login plugin <= 1.1.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-13247MEDIUMLogo Slider <= 5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'lgx_tooltip_position' ParameterEPSS 0.3%CVE-2026-16775MEDIUMSmash Balloon Social Post Feed <= 4.9.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode AttributeEPSS 0.3%