Weaknesses of type CWE-352

6,092 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2026-8903MEDIUMTwo-factor authentication (formerly IP Vault) <= 2.1 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2025-31402HIGHWordPress NewsBoard Post and RSS Scroller plugin <= 1.2.12 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31392HIGHWordPress Smart Product Gallery Slider plugin <= 1.0.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31399HIGHWordPress CG Scroll To Top plugin <= 3.5 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31404HIGHWordPress AF Tell a Friend plugin <= 1.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31400HIGHWordPress WS Audio Player plugin <= 1.1.8 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31401HIGHWordPress MMX – Make Me Christmas plugin <= 1.0.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-12004MEDIUMWPC Order Notes for WooCommerce <= 1.5.2 - Cross-Site Request Forgery to Reflected Cross-Site ScriptingEPSS 0.2%CVE-2025-32476HIGHWordPress Advanced Tag Lists plugin <= 1.2 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2023-52555MEDIUMIn mongo-express 1.0.2, /admin allows CSRF, as demonstrated by deletion of a Collection.EPSS 0.2%CVE-2025-31390HIGHWordPress Social Crowd plugin <= 0.9.6.1 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-7330HIGHRockwell Automation 1783-NATR Cross-Site Request Forgery VulnerabilityEPSS 0.2%CVE-2026-1835MEDIUMlcg0124 BootDo cross-site request forgeryEPSS 0.2%CVE-2025-32477HIGHWordPress WP-Easy Menu plugin <= 0.41 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-12545MEDIUMScratch & Win – Giveaways and Contests <= 2.7.1 - Cross-Site Request Forgery via reset_installation FunctionEPSS 0.2%CVE-2023-47182HIGHWordPress Login Screen Manager Plugin <= 3.5.2 is vulnerable to Cross Site Scripting (XSS)EPSS 0.2%CVE-2024-2416MEDIUMCross-Site Request Forgery vulnerability in Movistar 4G routerEPSS 0.2%CVE-2025-31382HIGHWordPress Language Field plugin <= 0.9 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31383HIGHWordPress FrescoChat Live Chat plugin <= 3.2.6 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-32113HIGHWordPress Libro de Reclamaciones y Quejas plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%