Weaknesses of type CWE-352

6,103 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2025-39437MEDIUMWordPress Anthologize plugin <= 0.8.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-28281HIGHInstantCMS has Multiple CSRF VulnerabilitiesEPSS 0.2%CVE-2026-58001MEDIUMWWBN AVideo Cross-Site Request Forgery via videoEditLight.phpEPSS 0.2%CVE-2025-12586MEDIUMConditional Maintenance Mode for WordPress <= 1.0.0 - Cross-Site Request ForgeryEPSS 0.2%CVE-2024-31613MEDIUMBOSSCMS v3.10 is vulnerable to Cross Site Request Forgery (CSRF) in name="head_code" or name="foot_code."EPSS 0.2%CVE-2025-46231MEDIUMWordPress affiliate-toolkit plugin <= 3.7.3 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-24289HIGHA Cross-Site Request Forgery (CSRF) leading to Cross-Site Scripting (XSS) vulnerability in the UCRM Client Signup Plugin (v1.3.4 and earlierEPSS 0.2%CVE-2025-47590MEDIUMWordPress WPSpeed plugin <= 2.6.5 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-46462MEDIUMWordPress WPVN plugin <= 0.7.8 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-46436MEDIUMWordPress SCSS-Library plugin <= 0.4.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-39426MEDIUMWordPress illow – Cookies Consent plugin <= 0.2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-47448MEDIUMWordPress WP Hotel Booking plugin <= 2.1.9 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-44186MEDIUMSourceCodester Best Employee Management System 1.0 is vulnerable to Cross Site Request Forgery (CSRF) in /admin/Operation/User.php page.EPSS 0.2%CVE-2025-47597MEDIUMWordPress WP Podcasts Manager plugin <= 1.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-39425MEDIUMWordPress Style Manager plugin <= 2.2.7 - Cross Site Request Forgery (CSRF) to Settings Change vulnerabilityEPSS 0.2%CVE-2026-81897HIGHConcrete CMS below version 9.5.3 is vulnerable to Stored XSS via Express form Text control save_controlEPSS 0.2%CVE-2025-47606MEDIUMWordPress Simple Giveaways plugin <= 2.49.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-21550MEDIUMVulnerability in the Oracle Financial Services Behavior Detection Platform product of Oracle Financial Services Applications (component: WebEPSS 0.2%CVE-2018-25337MEDIUMJoomla JoomOCShop 1.0 Cross-Site Request ForgeryEPSS 0.2%CVE-2025-23617HIGHWordPress Floatbox Plus plugin <= 1.4.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%