Weaknesses of type CWE-352

6,092 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2024-35138MEDIUMIBM Security Verify Access cross-site request forgeryEPSS 0.2%CVE-2026-3499HIGHProduct Feed PRO for WooCommerce by AdTribes – Product Feeds for WooCommerce 13.4.6 - 13.5.2.1 - Cross-Site Request Forgery to Multiple Administrative ActionsEPSS 0.2%CVE-2024-24887MEDIUMWordPress Contest Gallery Plugin <= 21.2.8.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2025-39593MEDIUMWordPress Ever Accounting plugin <= 2.1.5 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2023-45647MEDIUMWordPress Constant Contact Forms by MailMunch Plugin <= 2.0.10 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-46779MEDIUMWordPress EasyRecipe Plugin <= 3.5.3251 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-31932MEDIUMWordPress Blocksy Companion plugin <= 2.0.28 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2023-4629MEDIUMLadiApp <= 4.4 - Cross-Site Request Forgery via save_config()EPSS 0.2%CVE-2024-43287MEDIUMWordPress Brevo plugin <= 3.1.82 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-49272MEDIUMWordPress Social Auto Poster plugin <= 5.3.15 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-49628MEDIUMWordPress Most And Least Read Posts Widget plugin <= 2.5.18 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-37198MEDIUMWordPress Digital Newspaper theme <= 1.1.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2023-45060MEDIUMWordPress Interactive World Map Plugin <= 3.2.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-45068MEDIUMWordPress Contact Form by Supsystic Plugin <= 1.7.27 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-46095MEDIUMWordPress Smooth Scroll Links Plugin <= 1.1.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-4729MEDIUMLadiApp: Landing Page, PopupX, Marketing Automation, Affiliate Marketing… <= 4.4 - Cross-Site Request Forgery via publish_lp()EPSS 0.2%CVE-2023-4628MEDIUMLadiApp <= 4.4 - Cross-Site Request Forgery via ladiflow_save_hook()EPSS 0.2%CVE-2023-45102MEDIUMWordPress Blog Manager Light Plugin <= 1.20 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-1336MEDIUMImageRecycle pdf & image compression <= 3.1.13 - Cross-Site Request Forgery to Settings Update in optimizeAllOnEPSS 0.2%CVE-2023-46634HIGHWordPress Custom My Account for Woocommerce Plugin <= 2.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%