Weaknesses of type CWE-352

6,099 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2025-31482MEDIUMFreshRSS vulnerable to DoS by malicious feed entry loading logout URLEPSS 0.2%CVE-2026-4984HIGHBotpress - Credential Disclosure via Twilio Webhook HandlerEPSS 0.2%CVE-2026-8906MEDIUMWP Promoter <= 1.3 - Cross-Site Request Forgery to Stored Cross-Site Scripting via 'popup_width' ParameterEPSS 0.2%CVE-2026-81920LOWConcrete CMS below 9.5.3 is vulnerable to Cross-Site Request Forgery (CSRF) in Dashboard SEO Excluded Words Reset EndpointEPSS 0.2%CVE-2025-31680MEDIUMMatomo Analytics - Moderately critical - Cross site request forgery - SA-CONTRIB-2025-008EPSS 0.2%CVE-2026-8907MEDIUMWP-Ultimate-Map <= 1.1 - Cross-Site Request Forgery to Stored Cross-Site Scripting via 'zoom-level' ParameterEPSS 0.2%CVE-2024-26153MEDIUMETIC Telecom Remote Access Server (RAS) Cross-Site Request ForgeryEPSS 0.2%CVE-2026-81890MEDIUMelFinder: CSRF in netmount allows forced FTP mounts and server-side FTP connectionsEPSS 0.2%CVE-2024-3593HIGHUberMenu <= 3.8.3 - Cross-Site Request Forgery to Settings ResetEPSS 0.2%CVE-2025-4188MEDIUMAdvanced Reorder Image Text Slider <= 1.0 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.2%CVE-2025-31683MEDIUMGoogle Tag - Moderately critical - Cross Site Request Forgery - SA-CONTRIB-2025-012EPSS 0.2%CVE-2025-4199MEDIUMAbundatrade Plugin <= 1.8.02 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.2%CVE-2026-49215LOWSymfony UX: CSRF Protection Bypass in symfony/ux-live-component — Accept Header is CORS-SafelistedEPSS 0.2%CVE-2025-50044MEDIUMWordPress Real Estate Manager plugin <= 7.3 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-34429HIGH1Panel CSRF Web Port Configuration ChangeEPSS 0.2%CVE-2024-22287HIGHWordPress Better Anchor Links Plugin <= 1.7.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2026-11200MEDIUMInappropriate implementation in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a craEPSS 0.2%CVE-2025-59110MEDIUMCross-Site Request Forgery in Windu CMSEPSS 0.2%CVE-2025-26963MEDIUMWordPress ClickWhale plugin <= 2.4.3 - Cross Site Request Forgery (CSRF) to Settings Change vulnerabilityEPSS 0.2%CVE-2025-13408MEDIUMFoxtool All-in-One: Contact chat button, Custom login, Media optimize images <= 2.5.2 - Cross-Site Request Forgery to Google OAuth ConnectionEPSS 0.2%