Weaknesses of type CWE-352

6,105 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2025-14873MEDIUMLatePoint – Calendar Booking Plugin for Appointments and Events <= 5.2.5 - Cross-Site Request ForgeryEPSS 0.2%CVE-2026-60642HIGHVulnerability in the Oracle WebCenter Content product of Oracle Fusion Middleware (component: Content Server). Supported versions that are EPSS 0.2%CVE-2025-13194MEDIUMSurveyJS: Drag & Drop WordPress Form Builder to create, style and embed multiple forms of any complexity <= 2.5.2 - Cross-Site Request Forgery to Survey RenamingEPSS 0.2%CVE-2026-39170MEDIUMSemCms 5.0 is vulnerable to Cross Site Request Forgery (CSRF) via crafted POST request to /admin/semcms_user.php.EPSS 0.2%CVE-2025-14616MEDIUMRecooty <= 1.0.6 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2025-14853MEDIUMLEAV Last Email Address Validator <= 1.7.1 - Cross-Site Request Forgery to Plugin Settings UpdateEPSS 0.2%CVE-2026-1398MEDIUMChange WP URL <= 1.0 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2021-47946MEDIUMOpenCart 3.0.3.6 Account Takeover via Cross Site Request ForgeryEPSS 0.2%CVE-2025-13360MEDIUMQuantic Social Image Hover <= 1.0.8 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2025-28894HIGHWordPress List of Posts from each Category plugin for WordPress plugin <= 2.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-28923HIGHWordPress No Disposable Email plugin <= 2.5.1 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-46513MEDIUMWordPress All in One Time Clock Lite plugin < 1.3.326 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-28932HIGHWordPress Insert Code plugin <= 2.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-28931HIGHWordPress WordPress Hashtags plugin <= 0.3.2 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2026-76334MEDIUMSPL Injection through Dashboard Studio Workflow Actions in Splunk EnterpriseEPSS 0.2%CVE-2025-47681MEDIUMWordPress Web Accessibility with Max Access plugin <= 2.0.9 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2026-34383MEDIUMAdmidio: CSRF and Form Validation Bypass in Inventory Item Save via `imported` ParameterEPSS 0.2%CVE-2025-3907MEDIUMSearch API Solr - Moderately critical - Cross Site Request Forgery - SA-CONTRIB-2025-046EPSS 0.2%CVE-2025-14161MEDIUMTruefy Embed <= 1.1.0 - Cross-Site Request Forgery to 'truefy_embed_options_update' Settings UpdateEPSS 0.2%CVE-2025-13924MEDIUMAdvanced Product Fields (Product Addons) for WooCommerce <= 1.6.17 - Cross-Site Request Forgery to Product Field Group Duplication and PublicationEPSS 0.2%