Weaknesses of type CWE-352

6,074 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2023-51369MEDIUMWordPress Customize My Account for WooCommerce plugin <= 1.8.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2026-92806HIGHphpList before 3.6.17 Cross-Site Request Forgery via massremove.phpEPSS 0.3%CVE-2023-27073MEDIUMA Cross-Site Request Forgery (CSRF) in Online Food Ordering System v1.0 allows attackers to change user details and credentials via a crafteEPSS 0.3%CVE-2023-28749MEDIUMWordPress CM On Demand Search And Replace Plugin <= 1.3.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2024-32785HIGHWordPress The Pack Elementor addons plugin <= 2.0.8.3 - Cross Site Request Forgery (CSRF) to XSS vulnerabilityEPSS 0.3%CVE-2026-8421HIGHConcrete CMS 9.5.0 and below is vulnerable to CSRF on install_package() with conditional token bypass leading to RCEEPSS 0.3%CVE-2026-92751HIGHCMAK through 3.0.0.6 Cross-Site Request Forgery via Missing CSRF FilterEPSS 0.3%CVE-2026-59148HIGHMockoon: Unauthenticated admin API + wildcard CORS allows mock-state hijack and secret theftEPSS 0.3%CVE-2022-50804MEDIUMJM-DATA ONU JF511-TV 1.0.67 Cross-Site Request Forgery (CSRF) VulnerabilityEPSS 0.3%CVE-2024-13753HIGHUltimate Classified Listings <= 1.5 - Cross-Site Request Forgery to Account TakeoverEPSS 0.3%CVE-2025-24572MEDIUMWordPress WP Fast Total Search plugin <= 1.78.258 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2026-8426HIGHConcrete CMS 9.5.0 and below is vulnerable to CSRF on prepare_remote_upgrade() leading to one-request RCE via package overwriteEPSS 0.3%CVE-2023-48769MEDIUMWordPress Chat Bubble Plugin <= 2.3 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-46638MEDIUMWordPress WCP OpenWeather Plugin <= 2.5.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2020-9322HIGHThe /users endpoint in Statamic Core before 2.11.8 allows XSS to add an administrator user. This can be exploited via CSRF. Stored XSS can oEPSS 0.3%CVE-2023-47686MEDIUMWordPress Arigato Autoresponder and Newsletter Plugin <= 2.7.2.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-46625MEDIUMWordPress Autolinks Manager Plugin <= 1.10.04 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-46620MEDIUMWordPress DeepL Pro API translation Plugin <= 2.3.9.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-49840MEDIUMWordPress Multi Currency For WooCommerce Plugin <= 1.5.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-47791MEDIUMWordPress Leadster Plugin <= 1.1.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%