Falhas do tipo CWE-79

30.186 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2024-12076MEDIUMTarget Video Easy Publish <= 3.8.3 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-7148MEDIUMCodeAstro Simple Hospital Management System POST Parameter patient.html cross site scriptingEPSS 0.3%CVE-2024-2956MEDIUMSimple Ajax Chat <= 20231101 - Authenticated (Admin+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-37472HIGHWordPress Woffice theme <= 5.4.8 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2023-52196HIGHWordPress CPT Bootstrap Carousel Plugin <= 1.12 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2024-22855MEDIUMA cross-site scripting (XSS) vulnerability in the User Maintenance section of ITSS iMLog v1.307 allows attackers to execute arbitrary web scEPSS 0.3%CVE-2024-33928HIGHWordPress CodeBard's Patron Button and Widgets for Patreon plugin <= 2.2.0 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-35218HIGHBudibase: Stored XSS via unsanitized entity names rendered with {@html} in Builder Command PaletteEPSS 0.3%CVE-2024-44797MEDIUMA cross-site scripting (XSS) vulnerability in the component /managers/enable_requests.php of Gazelle commit 63b3370 allows attackers to execEPSS 0.3%CVE-2024-47840MEDIUMStored XSS through sidebar in Apex skinEPSS 0.3%CVE-2024-28761MEDIUMIBM App Connect Enterprise HTML injectionEPSS 0.3%CVE-2024-44918LOWA cross-site scripting (XSS) vulnerability in the component admin_datarelate.php of SeaCMS v12.9 allows attackers to execute arbitrary web sEPSS 0.3%CVE-2024-53791MEDIUMWordPress Lenxel Core plugin <= 1.2.8 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-24846HIGHWordPress Mighty Addons for Elementor Plugin <= 1.9.3 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2026-113383MEDIUMOptimal IdM OptimalCloud Login cross site scriptingEPSS 0.3%CVE-2024-11108MEDIUMSerious Slider < 1.2.7 - Contributor+ Stored XSS via ShortcodeEPSS 0.3%CVE-2024-24848HIGHWordPress PT Sign Ups Plugin <= 1.0.4 is vulnerable to Cross Site Scripting (XSS)EPSS 0.3%CVE-2026-34569CRITICALCI4MS: Blogs Categories Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM XSSEPSS 0.3%CVE-2024-13663MEDIUMCoaching Staffs <= 1.5.1 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-108159HIGHAstronRPA through 1.1.6 RCE via Smart-Component Chat XSS and IPC BridgeEPSS 0.3%