Weaknesses of type CWE-352

6,267 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2024-39410MEDIUMAdobe Commerce | Cross-Site Request Forgery (CSRF) (CWE-352)EPSS 0.5%CVE-2024-6310HIGHAdvanced AJAX Page Loader <= 2.7.7 - Cross-Site Request Forgery to Arbitrary File UploadEPSS 0.5%CVE-2020-23589MEDIUMA vulnerability in OPTILINK OP-XT71000N Hardware Version: V2.2 , Firmware Version: OP_V3.3.1-191028 allows an unauthenticated, remote attackEPSS 0.5%CVE-2022-43340HIGHA Cross-Site Request Forgery (CSRF) in dzzoffice 2.02.1_SC_UTF8 allows attackers to arbitrarily create user accounts and grant AdministratorEPSS 0.5%CVE-2022-43693HIGHConcrete CMS is vulnerable to CSRF due to the lack of "State" parameter for external Concrete authentication service for users of Concrete wEPSS 0.5%CVE-2015-10116MEDIUMRealFaviconGenerator Favicon Plugin class-favicon-by-realfavicongenerator-admin.php install_new_favicon cross-site request forgeryEPSS 0.5%CVE-2022-43418MEDIUMA cross-site request forgery (CSRF) vulnerability in Jenkins Katalon Plugin 1.0.33 and earlier allows attackers to connect to an attacker-spEPSS 0.5%CVE-2021-23849HIGHCross Site Request Forgery (CSRF) vulnerability in web based management interfaceEPSS 0.5%CVE-2020-7304HIGHDLP ePO extension - Cross-site request forgeryEPSS 0.5%CVE-2021-24725—Comment Link Remove and Other Comment Tools < 2.1.6 - Arbitrary Comment Deletion via CSRFEPSS 0.5%CVE-2022-20735MEDIUMCisco SD-WAN vManage Software Cross-Site Request Forgery VulnerabilityEPSS 0.5%CVE-2020-5402HIGHUAA fails to check the state parameter when authenticating with external IDPsEPSS 0.5%CVE-2023-42323HIGHCross Site Request Forgery (CSRF) vulnerability in DouHaocms v.3.3 allows a remote attacker to execute arbitrary code via the adminAction.clEPSS 0.5%CVE-2022-23475HIGHdalorRadius full account take overEPSS 0.5%CVE-2016-10529—Droppy versions <3.5.0 does not perform any verification for cross-domain websocket requests. An attacker is able to make a specially crafteEPSS 0.5%CVE-2022-40192HIGHWordPress wpForo Forum plugin <= 2.0.9 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.5%CVE-2024-22424HIGHCross-Site Request Forgery (CSRF) in github.com/argoproj/argo-cdEPSS 0.5%CVE-2017-20045HIGHNavetti PricePoint cross-site request forgeryEPSS 0.5%CVE-2024-9665MEDIUMZimbra GraphQL Cross-Site Request Forgery Information Disclosure VulnerabilityEPSS 0.5%CVE-2020-36752MEDIUMComing Soon & Maintenance Mode Page <= 1.57 - Cross-Site Request Forgery BypassEPSS 0.5%