Weaknesses of type CWE-352

6,103 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2025-11954HIGHCSRF in Sitemio's WISECPEPSS 0.2%CVE-2025-53249MEDIUMWordPress Build App Online Plugin <= 1.0.23 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2026-22202MEDIUMwpDiscuz before 7.6.47 - Destructive GET Action Deletes All Comments by EmailEPSS 0.2%CVE-2026-41875MEDIUMCross-Site Request Forgery in admin panel of Quick.CartEPSS 0.2%CVE-2025-23803HIGHWordPress Snippy Plugin <= 1.4.1 - CSRF to Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-6751MEDIUMSocial Auto Poster <= 5.3.14 - Cross-Site Request Forgery via Multiple FunctionsEPSS 0.2%CVE-2024-6040MEDIUMMissing client_id in parisneo/lollms-webuiEPSS 0.2%CVE-2025-23806HIGHWordPress Ultimate Subscribe Plugin <=1.3 - CSRF to Reflected Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2024-4403MEDIUMCSRF in restart_program in parisneo/lollms-webuiEPSS 0.2%CVE-2025-47596MEDIUMWordPress Beacon Lead Magnets and Lead Capture plugin <= 1.5.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-5019MEDIUMHive Support <= 1.2.5 - Cross-Site Request Forgery via hs_update_ai_chat_settings FunctionEPSS 0.2%CVE-2025-39443MEDIUMWordPress Verge3D plugin <= 4.9.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-39425MEDIUMWordPress Style Manager plugin <= 2.2.7 - Cross Site Request Forgery (CSRF) to Settings Change vulnerabilityEPSS 0.2%CVE-2025-39453MEDIUMWordPress Advanced Dynamic Pricing for WooCommerce plugin <= 4.9.3 - Cross Site Request Forgery (CSRF) to Settings Change vulnerabilityEPSS 0.2%CVE-2020-36918MEDIUMiDS6 DSSPro Digital Signage System 6.2 Cross-Site Request Forgery via User ManagementEPSS 0.2%CVE-2026-66775MEDIUMMultiple vulnerabilities in SAP Business AI Platform (Approuter)EPSS 0.2%CVE-2025-47523MEDIUMWordPress Seznam Webmaster plugin <= 1.4.7 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-39426MEDIUMWordPress illow – Cookies Consent plugin <= 0.2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-47448MEDIUMWordPress WP Hotel Booking plugin <= 2.1.9 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-47543MEDIUMWordPress TrueBooker plugin <= 1.0.7 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%