Weaknesses of type CWE-352

6,106 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2026-92410MEDIUMSign-up Sheets < 2.4.0 - Arbitrary Sign-up Deletion via CSRFEPSS 0.1%CVE-2025-9945MEDIUMOptimize More! – CSS <= 1.0.3 - Cross-Site Request Forgery to Plugin Settings ResetEPSS 0.1%CVE-2026-27415MEDIUMWordPress BEAR plugin <= 1.1.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-62123MEDIUMWordPress WP Gmail SMTP plugin <= 1.0.7 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-25071HIGHWordPress Vignette Ads plugin <= 0.2 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-62101MEDIUMWordPress Pardakht Delkhah plugin <= 3.0.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-32344MEDIUMWordPress Corpiva theme <= 1.0.96 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-25148HIGHWordPress Read More Copy Link plugin <= 1.0.2 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-46495MEDIUMWordPress Drop Caps plugin <= 2.1 - CSRF to XSS vulnerabilityEPSS 0.1%CVE-2026-78280MEDIUMWordPress Hash Form plugin <= 1.4.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-15080MEDIUMRay Enterprise Translation - Moderately critical - Cross site request forgery - SA-CONTRIB-2026-071EPSS 0.1%CVE-2026-32343MEDIUMWordPress Easy Table of Contents plugin <= 2.0.80 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-66474MEDIUMWordPress Insert Headers and Footers Code – HT Script plugin <= 1.1.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-32342MEDIUMWordPress Quiz Maker plugin <= 6.7.1.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-16965MEDIUMSolace Extra < 1.6.1 - Subscriber+ Post Meta Update via solace_update_sitebuilder_statusEPSS 0.1%CVE-2026-48925MEDIUMA cross-site request forgery (CSRF) vulnerability in Jenkins GitHub Integration Plugin 0.7.3 and earlier allows attackers to attackers to trEPSS 0.1%CVE-2026-57637MEDIUMWordPress Abandoned Cart Lite for WooCommerce plugin <= 6.8.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-62962HIGHWordPress CloudSearch plugin <= 3.0.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-57690MEDIUMWordPress Werkstatt theme <= 4.7.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-59428MEDIUMEspoCRM allows arbitrary user creation via stored SVG injection and CSRFEPSS 0.1%