Weaknesses of type CWE-352

6,081 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2024-54414HIGHWordPress Geoportail Shortcode plugin <= 2.4.4 - CSRF to Stored Cross-Site Scripting vulnerabilityEPSS 0.2%CVE-2024-54411HIGHWordPress WP Controller plugin <= 3.2.0 - CSRF to Stored Cross-Site Scripting vulnerabilityEPSS 0.2%CVE-2024-54421HIGHWordPress Floating Video Player plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-54425HIGHWordPress LionScripts: Site Maintenance plugin <= 2.1 - CSRF to Stored Cross-Site Scripting vulnerabilityEPSS 0.2%CVE-2024-54415HIGHWordPress WP-HideThat plugin <= 1.2 - CSRF to Stored Cross-Site Scripting vulnerabilityEPSS 0.2%CVE-2024-4312MEDIUMSoccer Engine – Soccer Plugin for WordPress <= 1.12 - Cross-Site Request ForgeryEPSS 0.2%CVE-2024-54428HIGHWordPress Add image to Post plugin <= 0.6 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-21528MEDIUMVulnerability in the Primavera P6 Enterprise Project Portfolio Management product of Oracle Construction and Engineering (component: Web AccEPSS 0.2%CVE-2023-45655MEDIUMWordPress PixFields Plugin <= 0.7.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-54435HIGHWordPress Onlywire Multi Autosubmitter plugin <= 1.2.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-54427HIGHWordPress Category of Posts plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-54440HIGHWordPress WP-Ban-User plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-54413HIGHWordPress Display Future Posts plugin <= 0.2.3 - CSRF to Stored Cross-Site Scripting vulnerabilityEPSS 0.2%CVE-2024-51652HIGHWordPress Skip To plugin <= 2.0.0 - CSRF to Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-51648HIGHWordPress e-shops plugin 1.0.3 - CSRF to Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-54432HIGHWordPress WP Flipkart Importer plugin <= 1.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-51649HIGHWordPress Mobilize plugin <= 3.0.7 - CSRF to Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-2110MEDIUMEvents Manager <= 6.4.7.1 - Cross-Site Request ForgeryEPSS 0.2%CVE-2024-48031MEDIUMWordPress Featured Posts with Multiple Custom Groups (FPMCG) plugin <= 4.0 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-51643HIGHWordPress Amazon Associate Filter plugin <= 0.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%