Weaknesses of type CWE-352

6,260 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2021-41275CRITICALAuthentication Bypass by CSRF WeaknessEPSS 0.6%CVE-2022-0914—Export All URLs < 4.3 - Private/Draft Post/Page Title Disclosure via CSRFEPSS 0.6%CVE-2019-12636HIGHCisco Small Business Smart and Managed Switches Cross-Site Request Forgery VulnerabilityEPSS 0.6%CVE-2022-0134—AnyComment < 0.2.18 - Arbitrary HyperComments Import/Revert via CSRFEPSS 0.6%CVE-2024-48846HIGHCross Side Request Forgery, CSRFEPSS 0.6%CVE-2021-3944LOWCross-Site Request Forgery (CSRF) in bookstackapp/bookstackEPSS 0.6%CVE-2020-1692HIGHMoodle before version 3.7.2 is vulnerable to information exposure of service tokens for users enrolled in the same course.EPSS 0.6%CVE-2017-14011—A Cross-Site Request Forgery issue was discovered in ProMinent MultiFLEX M10a Controller web interface. The application does not sufficientlEPSS 0.6%CVE-2021-39197MEDIUMCross-Site Request Forgery in better_errorsEPSS 0.6%CVE-2017-6042—A Cross-Site Request Forgery issue was discovered in Sierra Wireless AirLink Raven XE, all versions prior to 4.0.14, and AirLink Raven XT, aEPSS 0.6%CVE-2018-7524—A cross-site request forgery vulnerability has been identified in Geutebruck G-Cam/EFD-2250 Version 1.12.0.4 and Topline TopFD-2125 Version EPSS 0.6%CVE-2021-41113HIGHCross-Site-Request-Forgery in Backend URI Handling in Typo3EPSS 0.6%CVE-2021-24487—St Daily Tip <= 4.7 - CSRF to Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-34645HIGHShopping Cart & eCommerce Store <= 5.1.0 Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.6%CVE-2019-18271—OSIsoft PI Vision, All versions of PI Vision prior to 2019. The affected product is vulnerable to a cross-site request forgery that may be iEPSS 0.6%CVE-2022-2443HIGHFreeMind WP Browser <= 1.2 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.6%CVE-2021-4168MEDIUMCross-Site Request Forgery (CSRF) in star7th/showdocEPSS 0.6%CVE-2021-25930MEDIUMIn OpenNMS Horizon, versions opennms-1-0-stable through opennms-27.1.0-1; OpenNMS Meridian, versions meridian-foundation-2015.1.0-1 through EPSS 0.6%CVE-2021-24804—Simple JWT Login < 3.2.1 - Arbitrary Settings Update to Site Takeover via CSRFEPSS 0.6%CVE-2023-4047—A bug in popup notifications delay calculation could have made it possible for an attacker to trick a user into granting permissions. This vEPSS 0.6%