Weaknesses of type CWE-352

6,108 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2025-68573MEDIUMWordPress Simple Keyword to Link plugin <= 1.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-58262HIGHWordPress Sweet Energy Efficiency plugin <= 1.0.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-76959MEDIUMCross-Site Request Forgery (CSRF) vulnerability in SAP S/4HANA (Finance for Advanced Payment Management)EPSS 0.1%CVE-2025-58576MEDIUMCross-site request forgery vulnerability exists in GroupSession Free edition prior to ver5.3.0, GroupSession byCloud prior to ver5.3.3, and EPSS 0.1%CVE-2025-48321HIGHWordPress Ultimate twitter profile widget plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-52792HIGHWordPress WP User Stylesheet Switcher plugin <= v2.2.0 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58846HIGHWordPress WordPress Buffer – HYPESocial. Social Media Auto Post, Social Media Auto Publish and Schedule Plugin <= 2020.1.0 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-52794HIGHWordPress Creative Contact Form plugin <= 1.0.0 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58690HIGHWordPress Doliconnect Plugin <= 9.5.7 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58676HIGHWordPress HORIZONTAL SLIDER Plugin <= 2.4 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58853HIGHWordPress Popping Sidebars and Widgets Light Plugin <= 1.27 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2026-0493MEDIUMCross-Site Request Forgery (CSRF) vulnerability in SAP Fiori App (Intercompany Balance Reconciliation)EPSS 0.1%CVE-2026-100712HIGHfroxlor before 2.3.12 Two-Factor Authentication Bypass via CSRFEPSS 0.1%CVE-2026-1852MEDIUMProduct Pricing Table by WooBeWoo <= 1.1.0 - Cross-Site Request Forgery to Stored XSS and Pricing Table DeletionEPSS 0.1%CVE-2025-6781MEDIUMCopymatic – AI Content Writer & Generator <= 2.1 - Cross-Site Request Forgery to Settings UpdateEPSS 0.1%CVE-2021-47953MEDIUMOpenCart 3.0.3.7 Cross-Site Request Forgery via account/passwordEPSS 0.1%CVE-2025-6054MEDIUMYANewsflash <= 1.0.3 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.1%CVE-2025-64700MEDIUMCross-site request forgery vulnerability exists in GROWI v7.3.3 and earlier. If a user views a malicious page while logged in, the user may EPSS 0.1%CVE-2025-12407MEDIUMEvents Manager – Calendar, Bookings, Tickets, and more! <= 7.2.2.2 - Cross-Site Request Forgery to Location DeletionEPSS 0.1%CVE-2025-14907MEDIUMModerate Selected Posts <= 1.4 - Cross-Site Request Forgery to Plugin Settings UpdateEPSS 0.1%