Weaknesses of type CWE-352

6,267 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2022-43719HIGHApache Superset: Cross Site Request Forgery (CSRF) on accept, request access APIEPSS 0.6%CVE-2021-32632LOWCSRF allowing modification of commands, modules, banphrases through hidden iFramesEPSS 0.6%CVE-2020-8976CRITICALZGR TPS200 Cross-Site Request Forgery (CSRF)EPSS 0.6%CVE-2022-29451HIGHWordPress Rara One Click Demo Import plugin <= 1.2.9 - Cross-Site Request Forgery (CSRF) leads to Arbitrary File Upload vulnerabilityEPSS 0.6%CVE-2021-24890HIGHScripts Organizer < 3.0 - Unauthenticated Arbitrary File UploadEPSS 0.6%CVE-2022-0191—Ad Invalid Click Protector (AICP) < 1.2.7 - Arbitrary Ban Deletion via CSRFEPSS 0.6%CVE-2020-23592HIGHA vulnerability in OPTILINK OP-XT71000N Hardware Version: V2.2 , Firmware Version: OP_V3.3.1-191028 allows an unauthenticated, remote attackEPSS 0.6%CVE-2021-4387MEDIUMOpal Estate <= 1.6.11 - Cross-Site Request Forgery BypassEPSS 0.6%CVE-2022-36076HIGHAccount takeover via SSO plugins in NodeBBEPSS 0.6%CVE-2021-24231—Patreon WordPress < 1.7.0 - CSRF to Disconnect Sites From PatreonEPSS 0.6%CVE-2020-12511HIGHPepper+Fuchs Comtrol IO-Link Master Cross-Site Request ForgeryEPSS 0.6%CVE-2021-25081—WP Google Map < 1.8.4 - Arbitrary Post Deletion and Plugin's Settings Update via CSRFEPSS 0.6%CVE-2023-5455MEDIUMIpa: invalid csrf protectionEPSS 0.6%CVE-2014-2358—Fox-IT DataDiode Appliance CSRFEPSS 0.6%CVE-2021-24675—One User Avatar < 2.3.7 - Avatar Update via CSRFEPSS 0.6%CVE-2025-25967MEDIUMAcora CMS version 10.1.1 is vulnerable to Cross-Site Request Forgery (CSRF). This flaw enables attackers to trick authenticated users into pEPSS 0.6%CVE-2021-24642—Scroll Baner <= 1.0 - CSRF to RCEEPSS 0.6%CVE-2021-24735—Compact WP Audio Player < 1.9.7 - Setting Change via CSRFEPSS 0.6%CVE-2023-24434HIGHA cross-site request forgery (CSRF) vulnerability in Jenkins GitHub Pull Request Builder Plugin 1.42.2 and earlier allows attackers to conneEPSS 0.6%CVE-2023-24446HIGHA cross-site request forgery (CSRF) vulnerability in Jenkins OpenID Plugin 2.4 and earlier allows attackers to trick users into logging in tEPSS 0.6%