Weaknesses of type CWE-352

6,098 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2026-5923MEDIUMPoly Voice – Potential Unauthorized Modification of WebUI using CSRF AttackEPSS 0.2%CVE-2025-60912LOWphpIPAM v1.7.3 contains a Cross-Site Request Forgery (CSRF) vulnerability in the database export functionality. The generate-mysql.php functEPSS 0.2%CVE-2024-31262MEDIUMWordPress WooCommerce Checkout Field Editor (Checkout Manager) plugin <= 2.1.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-13523MEDIUMMemorialDay <= 1.0.4 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-31068MEDIUMWordPress Seven Stars <= 1.4.4 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-30804MEDIUMWordPress wpShopGermany IT-RECHT KANZLEI plugin <= 2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-40857HIGHCSRF token bypass in T-Mobile 5G Box IDU routersEPSS 0.2%CVE-2025-30801MEDIUMWordPress TWB Woocommerce Reviews plugin <= 1.7.7 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-37774HIGHA Cross-Site Request Forgery (CSRF) in Sunbird DCIM dcTrack v9.1.2 allows authenticated attackers to escalate their privileges by forcing anEPSS 0.2%CVE-2024-21032MEDIUMVulnerability in the Oracle Complex Maintenance, Repair, and Overhaul product of Oracle E-Business Suite (component: LOV). Supported versioEPSS 0.2%CVE-2025-10377MEDIUMSystem Dashboard <= 2.8.20 - Cross-Site Request ForgeryEPSS 0.2%CVE-2024-31279MEDIUMWordPress Generate Child Theme plugin <= 2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-31263MEDIUMWordPress Loan Repayment Calculator and Application Form plugin <= 2.9.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-31100MEDIUMWordPress Popup Cart Lite for WooCommerce plugin <= 1.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-55744HIGHCotonti CSRF in PFS allows forced arbitrary file uploadEPSS 0.2%CVE-2024-31434MEDIUMWordPress Newsletter plugin <= 8.0.6 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-58482MEDIUMNetwork-AI: ApprovalInbox HTTP server has no authentication — anyone can approve pending agent actionsEPSS 0.2%CVE-2024-31936MEDIUMWordPress UsersWP plugin < 1.2.6 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-30568MEDIUMWordPress Super Static Cache plugin <= 3.3.5 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-30576MEDIUMWordPress Hacklog Remote Image Autosave plugin <= 2.1.0 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%