Weaknesses of type CWE-352

6,081 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2024-42629MEDIUMFrogCMS v0.9.5 was discovered to contain a Cross-Site Request Forgery (CSRF) vulnerability via /admin/?/page/edit/10.EPSS 0.2%CVE-2026-7108MEDIUMcode-projects Invoice System in Laravel cross-site request forgeryEPSS 0.2%CVE-2024-7647MEDIUMOTA Sync Booking Engine Widget 1.2.7 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-13684HIGHReset <= 1.6 - Cross-Site Request Forgery to Database ResetEPSS 0.2%CVE-2026-4968MEDIUMSourceCodester Diary App diary.php cross-site request forgeryEPSS 0.2%CVE-2025-30783HIGHWordPress WP Google Review Slider plugin <= 16.0 - CSRF to SQL Injection vulnerabilityEPSS 0.2%CVE-2026-6589MEDIUMComfyUI server.py create_origin_only_middleware cross-site request forgeryEPSS 0.2%CVE-2026-9486MEDIUMSourceCodester Student Grades Management System cross-site request forgeryEPSS 0.2%CVE-2024-37937MEDIUMWordPress Rara Business theme <= 1.2.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-1407MEDIUMPaid Memberships Pro <= 2.12.10 - Cross-Site Request Forgery to Membership ModificationEPSS 0.2%CVE-2024-37503MEDIUMWordPress Lawyer Landing Page theme <= 1.2.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-31430MEDIUMCross-Site Request Forgery (CSRF) vulnerability in realmag777 BEAR and WOLF WordPress pluginsEPSS 0.2%CVE-2025-25907HIGHtianti v2.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /user/ajax/save. This vulnerability allows attacEPSS 0.2%CVE-2023-4301MEDIUMCSRF vulnerability in Fortify Plugin allow capturing credentialsEPSS 0.2%CVE-2024-0512MEDIUMRoyal Elementor Addons and Templates <= 1.3.87 - Cross-Site Request Forgery via add_to_wishlistEPSS 0.2%CVE-2026-40549MEDIUMCross-Site Request Forgery in SOPlanningEPSS 0.2%CVE-2023-52119MEDIUMWordPress Icegram Plugin <= 3.1.18 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-52128MEDIUMWordPress White Label Plugin <= 2.9.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2025-67651MEDIUMCSRF in PHP Jabbers scriptsEPSS 0.2%CVE-2026-54599HIGHWallos: OIDC state parameter never validated — login CSRF / account takeoverEPSS 0.2%