Falhas do tipo CWE-79

30.284 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2026-15782MEDIUMWPForms <= 2.0.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via OptinMonster Integration data-sitekey Attribute in Post ContentEPSS 0.3%CVE-2024-13398MEDIUMCheckout for PayPal <= 1.0.32 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-5881MEDIUMWebico Slider Flatsome Addons <= 2.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via wbc_image ShortcodeEPSS 0.3%CVE-2025-59525HIGHHorilla has Improper Input Sanitization Leading to XSS and Admin Account TakeoverEPSS 0.3%CVE-2025-10584MEDIUMPortabilis i-Educar educar_calendario_anotacao_cad.php cross site scriptingEPSS 0.3%CVE-2024-12334MEDIUMWC Affiliate – A Complete WooCommerce Affiliate Plugin <= 2.4 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2024-7147MEDIUMJetBlocks <= 1.3.12 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2024-11453MEDIUMWordPress Pinterest Plugin – Make a Popup, User Profile, Masonry and Gallery Layout <= 1.8.8 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2026-105089CRITICALWWBN AVideo through 29.2.0 Stored XSS via trailer1 in YouPHPFlix2 TemplatesEPSS 0.3%CVE-2025-9306MEDIUMSourceCodester Advanced School Management System addNotice cross site scriptingEPSS 0.3%CVE-2024-7136MEDIUMJetSearch <= 3.5.2 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-8314MEDIUMSoftware Issue Manager <= 5.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via noaccess_msg ParameterEPSS 0.3%CVE-2024-8660MEDIUMStored XSS in the "Top Navigator Bar" blockEPSS 0.3%CVE-2026-2714MEDIUMInstitute Management <= 5.5 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Enquiry Form Title' SettingEPSS 0.3%CVE-2025-14937HIGHFrontend Admin by DynamiApps <= 3.28.23 - Unauthenticated Stored Cross-Site Scripting via 'update_field'EPSS 0.3%CVE-2025-53486MEDIUMWikiCategoryTagCloud: Reflected Cross-Site Scripting (XSS) via linkstyle attribute in parser functionEPSS 0.3%CVE-2025-7815MEDIUMPHPGurukul Apartment Visitors Management System HTTP POST Request manage-newvisitors.php cross site scriptingEPSS 0.3%CVE-2025-8581MEDIUMInappropriate implementation in Extensions in Google Chrome prior to 139.0.7258.66 allowed a remote attacker who convinced a user to engage EPSS 0.3%CVE-2024-12328MEDIUMMAS Elementor <= 1.1.7 - Authenticated (Author+) Stored Cross-Site Scripting via SVGEPSS 0.3%CVE-2024-50406LOWLicense CenterEPSS 0.3%