Falhas do tipo CWE-80

586 resultados

Falta de neutralização de tags HTML relacionadas a scripts (XSS básico)

Ocorre quando a aplicação web recebe entrada do usuário e a exibe no HTML sem sanitizar tags de script e eventos (como <script>, onclick, onerror). Um atacante injeta código JavaScript malicioso que executa no navegador da vítima, roubando cookies, sessões ou dados sensíveis.

Exemplo

Um formulário de comentários aceita '<img src=x onerror="alert(document.cookie)">'. A aplicação exibe o comentário sem filtro na página, e o navegador executa o código malicioso quando carrega a imagem inválida, capturando a sessão do usuário.

Como mitigar

Escape ou remova todas as tags HTML perigosas antes de renderizar (use bibliotecas como DOMPurify ou sanitizadores nativos da stack). Aplique Content Security Policy (CSP) nos headers HTTP para bloquear inline scripts mesmo que a injeção passe.

CVE-2026-35163MEDIUMOctoPrint: XSS in Suppressed Command NotificationsEPSS 0.1%CVE-2026-34497MEDIUMFMS Employee Vulnerable to HTML InjectionEPSS 0.1%CVE-2026-0396LOWHTML injection in the web dashboardEPSS 0.1%CVE-2025-58430HIGHlistmonk Vulnerable to CSRF to XSS Chain That Can Lead to Admin Account TakeoverEPSS 0.1%CVE-2026-42451MEDIUMGrimmory: Stored XSS via Malicious EPUB Enables Session Token TheftEPSS 0.1%CVE-2025-59854LOWHCL DFXAnalytics is affected by an Insecure Security Header Configuration vulnerabilityEPSS 0.1%