Weaknesses of type CWE-352

6,098 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2024-8319MEDIUMTourfic <= 2.11.20 - Cross-Site Request Forgery in Multiple FunctionsEPSS 0.2%CVE-2024-2368MEDIUMMollie Forms <= 2.6.13 - Cross-Site Request Forgery to Arbitrary Post DuplicationEPSS 0.2%CVE-2025-23717HIGHWordPress Theme My Ontraport Smartform plugin <= 1.2.11 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-12005MEDIUMWP-BibTeX <= 3.0.1 - Cross-Site Request Forgery to Stored and Reflected Cross-Site ScriptingEPSS 0.2%CVE-2025-30912MEDIUMWordPress Float menu plugin <= 6.1.2 - Cross Site Request Forgery (CSRF) to Settings Change vulnerabilityEPSS 0.2%CVE-2024-13432MEDIUMWebcamconsult <= 1.5.0 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.2%CVE-2024-4541MEDIUMCustom Product List Table <= 3.0.0 - Cross-Site Request ForgeryEPSS 0.2%CVE-2025-23713HIGHWordPress Hack me if you can plugin <= 1.2 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-21044MEDIUMVulnerability in the Oracle Complex Maintenance, Repair, and Overhaul product of Oracle E-Business Suite (component: LOV). Supported versioEPSS 0.2%CVE-2025-24756HIGHWordPress Roi Calculator plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-51659HIGHWordPress Twitter @Anywhere Plus plugin <= 2.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2026-21430HIGHEmlog: CSRF chained with stored XSS leads to ATOEPSS 0.2%CVE-2025-23745HIGHWordPress Call me Now plugin <= 1.0.5 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2026-8942MEDIUMMetaMagic SEO Plugin <= 1.6 - Cross-Site Request Forgery to Plugin Settings Update via Settings PageEPSS 0.2%CVE-2024-31272MEDIUMWordPress ARForms Form Builder plugin <= 1.6.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-3332MEDIUMXhanch - My Advanced Settings <= 1.1.2 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2024-33646HIGHWordPress Sticky Anything plugin <= 2.1.5 - Broken Access Control to XSS vulnerabilityEPSS 0.2%CVE-2026-8902MEDIUMAJAX Report Comments <= 2.0.4 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2026-8943MEDIUMGoStats for WordPress <= 1.4 - Cross-Site Request Forgery via gostats_manage() FunctionEPSS 0.2%CVE-2026-8941MEDIUMCDN Linker lite <= 1.3.1 - Cross-Site Request Forgery to Plugin Settings UpdateEPSS 0.2%