Falhas do tipo CWE-79

30.295 resultados

Injeção de Script entre Sites (XSS)

Ocorre quando a aplicação insere dados não validados do usuário diretamente em páginas HTML enviadas ao navegador, permitindo que atacantes injetem código JavaScript malicioso. O navegador executa esse script com os mesmos privilégios da sessão legítima, comprometendo dados da vítima ou sua conta.

Exemplo

Um formulário de busca que exibe o termo digitado na página sem sanitização: se você buscar por '<script>alert(1)</script>', esse script será executado no navegador de quem abrir o resultado. Um atacante pode roubar cookies de sessão ou redirecionar para um site falso.

Como mitigar

Valide e escape todos os dados do usuário antes de renderizar em HTML (use funções nativas como textContent em vez de innerHTML). Para entrada de dados, liste o que é permitido (whitelist); para saída, contextualize o escape (HTML, JavaScript, URL). Use Content Security Policy (CSP) como camada adicional para restringir execução de scripts inline.

CVE-2025-3858MEDIUMFormality <= 1.5.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via align ParameterEPSS 0.3%CVE-2024-52356MEDIUMWordPress The Pack Elementor addons plugin <= 2.1.0 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2026-18843MEDIUMBeaver Builder Plugin (Pro Version) <= 2.11.0.1 - Reflected Cross-Site Scripting via 'no_results_message' node_preview ParameterEPSS 0.3%CVE-2025-28914MEDIUMWordPress wordpress login form to anywhere plugin <= 0.2 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-27303MEDIUMWordPress Contact Form 7 Star Rating plugin <= 1.10 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2025-9798HIGHStored XSS in Netcad Software's NetigmaEPSS 0.3%CVE-2026-44759MEDIUMCross Site Scripting (XSS) vulnerability in SAP NetWeaver Enterprise PortalEPSS 0.3%CVE-2025-28937MEDIUMWordPress Lava Ajax Search plugin <= 1.1.9 - Cross Site Scripting (XSS) vulnerabilityEPSS 0.3%CVE-2024-55492MEDIUMWinmail Server 4.4 is vulnerable to f_user=%22%3E%3Csvg%20onload Cross Site Scripting (XSS).EPSS 0.3%CVE-2025-2893MEDIUMGutenverse <= 2.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via countdown BlockEPSS 0.3%CVE-2024-6742MEDIUMAguardNet Space Management System - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2026-97336HIGHCMB2 <= 2.13.0 - Unauthenticated Stored Cross-Site Scripting via 'file_list' Field TypeEPSS 0.3%CVE-2025-55072MEDIUMStored cross-site scripting (XSS) vulnerability in desknet's NEO V2.0R1.0 to V9.0R2.0 allow execution of arbitrary JavaScript in a user’s weEPSS 0.3%CVE-2025-9940MEDIUMCodeAstro Real Estate Management System feature.php cross site scriptingEPSS 0.3%CVE-2026-1011MEDIUMStored Cross-Site Scripting in Altium Live Support Center Comment EndpointEPSS 0.3%CVE-2024-11254MEDIUMAMP for WP – Accelerated Mobile Pages <= 1.1.1 - Reflected Cross-Site ScriptingEPSS 0.3%CVE-2026-102576MEDIUMQuay: quay: dom-based cross-site scripting via unvalidated redirect_url on signin pageEPSS 0.3%CVE-2025-27084MEDIUMReflected Cross-Site Scripting (XSS) Vulnerability in Captive Portal (CP) of an AOS-10 GW and AOS-8 Controller/Mobility Conductor Web-based Management InterfaceEPSS 0.3%CVE-2025-3077MEDIUMBetheme <= 28.0.3 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%CVE-2025-1455MEDIUMRoyal Elementor Addons and Templates <= 1.7.1012 - Authenticated (Contributor+) Stored Cross-Site ScriptingEPSS 0.3%