Weaknesses of type CWE-352

6,107 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2026-22360MEDIUMWordPress SearchAzon plugin <= 1.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-24942MEDIUMWordPress WpEvently plugin <= 5.1.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-27003MEDIUMWordPress Quick Paypal Payments Plugin <= 5.7.46 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-57761HIGHWordPress SEOWP theme <= 3.12.2 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-64357MEDIUMWordPress Advanced Database Cleaner plugin <= 3.1.6 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-30498MEDIUMA Cross-Site Request Forgery (CSRF) vulnerability was discovered in the delete.php endpoint of Jason2605 AdminPanel 4.0.EPSS 0.1%CVE-2025-58807HIGHWordPress Purge Varnish Cache Plugin <= 2.6 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2026-65539HIGHWordPress Kwayy HTML Sitemap plugin <= 4.0 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-54732MEDIUMWordPress WPDM – Premium Packages Plugin <= 6.0.2 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-57885MEDIUMWordPress Fluent Support Plugin <= 1.9.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2026-84759HIGHWordPress Activity Log plugin <= 2.13.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-55041HIGHMuraCMS through 10.1.10 contains a CSRF vulnerability in the Add To Group functionality for user management (cUsers.cfc addToGroup method) tEPSS 0.1%CVE-2025-8119MEDIUMCross-Site Request Forgery in PAD CMSEPSS 0.1%CVE-2025-49040MEDIUMWordPress Backup Bolt plugin <= 1.5.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-65540HIGHWordPress Popup for CF7 with Sweet Alert plugin <= 1.6.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-57892MEDIUMWordPress Simple Statistics for Feeds Plugin <= 20250322 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-64286MEDIUMWordPress WP Rentals theme <= 3.13.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-64288MEDIUMWordPress Premmerce plugin <= 1.3.19 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-64226MEDIUMWordPress Stockie Extra plugin <= 1.2.11 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-58865MEDIUMWordPress Compact Admin plugin <= 1.3.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%