Falhas do tipo CWE-79

30.284 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-105086CRITICALWWBN AVideo 12.4 through 29.2.0 Stored XSS via Double-Encoded Video TitleEPSS 0.3%CVE-2023-53985MEDIUMZstore 6.5.4 - Reflected Cross-Site Scripting (XSS)EPSS 0.3%CVE-2026-1379MEDIUMHTTP Headers <= 1.19.2 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Custom Headers' Plugin SettingEPSS 0.3%CVE-2020-36966MEDIUMDolibarr 11.0.3 - 'ldap.php' - Persistent Cross-Site ScriptingEPSS 0.3%CVE-2025-25124HIGHWordPress Status Updater Plugin <= 9.21 - Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-2719MEDIUMPrivate WP suite <= 0.4.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Exceptions' SettingEPSS 0.3%CVE-2026-118438MEDIUMFirelight Lightbox < 2.3.24 - Contributor+ Stored XSS via Image 'src' AttributeEPSS 0.3%CVE-2024-9292MEDIUMBridge Core <= 3.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via ShortcodeEPSS 0.3%CVE-2019-25379MEDIUMSmoothwall Express 3.1 'urlfilter.cgi' Cross-Site ScriptingEPSS 0.3%CVE-2024-3888MEDIUMtagDiv Composer <= 4.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via button ShortcodeEPSS 0.3%CVE-2026-110504MEDIUMEnable SVG, WebP, and ICO Upload 1.1.3 - 1.1.5 - Author+ Stored XSS via SVG Sanitization BypassEPSS 0.3%CVE-2026-23476MEDIUMFacturaScripts Affected by Reflected XSSEPSS 0.3%CVE-2025-8294MEDIUMDownload Counter <= 1.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via name ParameterEPSS 0.3%CVE-2024-34128MEDIUMAdobe Experience Manager | Cross-site Scripting (Stored XSS) (CWE-79)EPSS 0.3%CVE-2025-71179MEDIUMCreativeitem Academy LMS 7.0 contains reflected Cross-Site Scripting (XSS) vulnerabilities via the search parameter to the /academy/blogs enEPSS 0.3%CVE-2025-52896HIGHFrappe authenticated XSS via data importEPSS 0.3%CVE-2024-11453MEDIUMWordPress Pinterest Plugin – Make a Popup, User Profile, Masonry and Gallery Layout <= 1.8.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-9306MEDIUMSourceCodester Advanced School Management System addNotice cross site scriptingEPSS 0.3%CVE-2024-5881MEDIUMWebico Slider Flatsome Addons <= 2.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via wbc_image ShortcodeEPSS 0.3%CVE-2025-59525HIGHHorilla has Improper Input Sanitization Leading to XSS and Admin Account TakeoverEPSS 0.3%