Falhas do tipo CWE-81

9 resultados

Falha ao neutralizar scripts em mensagens de erro web

A aplicação exibe dados não sanitizados (como parâmetros da URL ou entrada do usuário) diretamente em páginas de erro sem escapar caracteres especiais. Um atacante injeta código JavaScript malicioso que é executado no navegador da vítima quando ela vê a mensagem de erro, permitindo roubo de sessão ou redirecionamento malicioso.

Exemplo

Um formulário de login retorna erro com a mensagem 'Usuário [INPUT] não encontrado'. Se o atacante enviar '?usuario=<script>fetch("/api/rouba-cookie")</script>', o script será executado no navegador de quem clicar no link malicioso.

Como mitigar

Sempre escapar (encode) dados do usuário antes de renderizá-los em HTML — use Content Security Policy, frameworks que fazem escape automático (como templates modernas), e valide/sanitize entradas na origem. Testar manualmente mensagens de erro com payloads de XSS.

CVE-2022-4137HIGHKeycloak: reflected xss attackEPSS 1.1%CVE-2024-6892MEDIUMJournyx Reflected Cross Site ScriptingEPSS 0.8%CVE-2019-25027MEDIUMReflected cross-site scripting in default RouteNotFoundError view in Vaadin 10 and 11-13EPSS 0.7%CVE-2022-4361CRITICALKeycloak, an open-source identity and access management solution, has a cross-site scripting (XSS) vulnerability in the SAML or OIDC provideEPSS 0.6%CVE-2024-47882MEDIUMOpenRefine's error page lacks escaping, leading to potential Cross-site Scripting on import of malicious projectEPSS 0.5%CVE-2025-24344MEDIUMA vulnerability in the error notification messages of the web application of ctrlX OS allows a remote unauthenticated attacker to inject arbEPSS 0.3%CVE-2025-0883LOWvulnerability has been discovered in OpenText™ Service Manager.EPSS 0.3%CVE-2024-47064MEDIUMComputer Vision Annotation Tool (CVAT) contains a reflected XSS via request endpointsEPSS 0.3%CVE-2026-41568MEDIUMMoby: Race condition in docker cp allows creation of arbitrary empty files on the host via symlink swapEPSS 0.1%