Falhas do tipo CWE-79

30.259 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-10331MEDIUMcdevroe unmark Marks.php cross site scriptingEPSS 0.3%CVE-2025-64112HIGHStatmatic vulnerable to Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-6124HIGHReflected XSS in Hubshare via Open RedirectEPSS 0.3%CVE-2025-2131MEDIUMdayrui XunRuiCMS Friendly Links cross site scriptingEPSS 0.3%CVE-2024-20403MEDIUMA vulnerability in the web-based management interface of Cisco Firepower Management Center (FMC) Software could allow an authenticated, remoEPSS 0.3%CVE-2024-9452MEDIUMBranding <= 1.0 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File UploadEPSS 0.3%CVE-2026-45072LOWSymfony: Stored XSS in WebProfiler CodeExtension::fileExcerpt() — Unescaped Non-PHP File RenderingEPSS 0.3%CVE-2026-118242HIGHHighcharts Grid: custom icon definition objects written with raw `setAttribute` on `<path>`EPSS 0.3%CVE-2026-2145MEDIUMcym1102 nginxWebUI Web Management check cross site scriptingEPSS 0.3%CVE-2025-32680MEDIUMWordPress Review Stream plugin <= 1.6.7 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-2975MEDIUMGFI KerioConnect Signature EditHtmlSource cross site scriptingEPSS 0.3%CVE-2025-9104MEDIUMPortabilis i-Diario Informações Adicionais /planos-de-aulas-por-disciplina cross site scriptingEPSS 0.3%CVE-2025-9168MEDIUMSolidInvoice Invoice Creation invoice cross site scriptingEPSS 0.3%CVE-2024-8776MEDIUMINTUMIT SmartRobot - Cross-site ScriptingEPSS 0.3%CVE-2026-6275MEDIUMStatCounter <= 2.1.1 - Authenticated (Author+) Stored Cross-Site Scripting via Author NicknameEPSS 0.3%CVE-2026-6592MEDIUMComfyUI userdata Endpoint user_manager.py getuserdata cross site scriptingEPSS 0.3%CVE-2025-9169MEDIUMSolidInvoice Quote quotes cross site scriptingEPSS 0.3%CVE-2024-35775MEDIUMWordPress Slider by Soliloquy plugin <= 2.7.6 - Broken Access Control to XSS vulnerabilityEPSS 0.3%CVE-2025-14039MEDIUMSimple Folio <= 1.1.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'Client name' and 'Link' Meta FieldsEPSS 0.3%CVE-2026-83539HIGHApache Wicket: XSS in SmartLinkLabel and SmartLinkMultiLineLabel via a javascript: URL in the model dataEPSS 0.3%