Falhas do tipo CWE-79

30.266 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-76324MEDIUMStored Cross-Site Scripting (XSS) in Splunk Web Tours in Splunk EnterpriseEPSS 0.3%CVE-2026-81731MEDIUMFrappe 15.11.0 through 16.32.0 Stored XSS via Workspace Link DescriptionEPSS 0.3%CVE-2026-34989CRITICALCI4MS affected by Profile & User Management Full Account Takeover for All-Roles & Privilege-Escalation via Stored DOM XSSEPSS 0.3%CVE-2024-36994MEDIUMPersistent Cross-site Scripting (XSS) in Dashboard ElementsEPSS 0.3%CVE-2024-38493MEDIUMSymantec Privileged Access Manager Reflected Cross Site Scripting vulnerabilityEPSS 0.3%CVE-2025-11857MEDIUMXX2WP Integration Tools <= 1.9.9 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-103389MEDIUMMISP Stored Cross-Site Scripting via Unvalidated Galaxy Icon Field in Correlation GraphEPSS 0.3%CVE-2026-10618MEDIUMHugo 0.93.0 through 0.165.0 Stored Cross-Site Scripting via Unescaped Code-Fence Attribute ValuesEPSS 0.3%CVE-2024-47624HIGHWordPress BSK Forms Blacklist plugin <= 3.8.1 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-22444MEDIUMA vulnerability within the web-based management interface of EdgeConnect SD-WAN Orchestrator could allow a remote attacker to conduct a reflEPSS 0.3%CVE-2026-109266MEDIUMImageMagick before 6.9.13-57 and 7.x before 7.1.2-32 XML Injection via CIP EncoderEPSS 0.3%CVE-2026-96669HIGHFood Store <= 1.5.5 - Unauthenticated Stored Cross-Site Scripting via 'service_type' CookieEPSS 0.3%CVE-2026-3618MEDIUMColumns by BestWebSoft <= 1.0.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'columns' Shortcode 'id' AttributeEPSS 0.3%CVE-2026-50709MEDIUMFrappe Framework 17.0.0-dev - Stored XSS in Notifications Events color renderingEPSS 0.3%CVE-2024-6986MEDIUMCross-site Scripting (XSS) in parisneo/lollms-webuiEPSS 0.3%CVE-2026-6184MEDIUMcode-projects Simple Content Management System welcome.php cross site scriptingEPSS 0.3%CVE-2025-48234MEDIUMWordPress Ultimate Blocks plugin <= 3.3.0 - Cross Site Scripting (XSS) VulnerabilityEPSS 0.3%CVE-2026-69235MEDIUMstored cross site scripting issue in Esri Portal for ArcGISEPSS 0.3%CVE-2019-25317MEDIUMKimai 2- persistent cross-site scripting (XSS)EPSS 0.3%CVE-2024-1891LOWStored Cross Site ScriptingEPSS 0.3%