Weaknesses of type CWE-352

6,267 results

Falta de verificação de intenção do usuário (CSRF)

A aplicação não consegue confirmar se uma requisição legítima e bem-formada foi realmente intencionada pelo usuário que a enviou. Um atacante pode forjar requisições em nome de um usuário autenticado, fazendo-o executar ações sem consentimento. Isso ocorre porque a aplicação confia apenas em cookies de sessão, sem validar a origem ou intenção real da ação.

Example

Um usuário logado em seu banco acessa um site malicioso enquanto a sessão está ativa. O site injeta uma requisição silenciosa transferindo dinheiro da conta do usuário. Como o navegador envia automaticamente os cookies da sessão, a requisição é aceita como legítima pela aplicação do banco.

How to mitigate

Implemente tokens CSRF únicos e vinculados à sessão em formulários e requisições críticas (POST, PUT, DELETE). Valide a origem da requisição via verificação de header Referer/Origin e use o padrão SameSite nos cookies de sessão. Exija reautenticação para operações sensíveis.

CVE-2024-29192HIGHGHSL-2023-206 gotortc Cross-Site Request Forgery vulnerabilityEPSS 0.5%CVE-2021-34743MEDIUMCisco Webex Software Application Authorization Bypass VulnerabilityEPSS 0.5%CVE-2022-0313—Float Menu < 4.3.1 - Arbitrary Menu Deletion via CSRFEPSS 0.5%CVE-2022-0199—Coming soon and Maintenance mode < 3.6.8 - Arbitrary Email Sending to Subscribed Users via CSRFEPSS 0.5%CVE-2022-0328—Simple Membership < 4.0.9 - Arbitrary Member Deletion via CSRFEPSS 0.5%CVE-2022-23685HIGHA vulnerability in the ClearPass Policy Manager web-based management interface exists which exposes some endpoints to a lack of Cross-Site REPSS 0.5%CVE-2022-41489HIGHWAYOS LQ_09 22.03.17V was discovered to contain a Cross-Site Request Forgery (CSRF) which allows attackers to send crafted requests to the sEPSS 0.5%CVE-2021-24799—Far Future Expiry Header < 1.5 - Plugin's Settings Update via CSRFEPSS 0.5%CVE-2021-24572—Paypal Donation < 1.3.1 - CSRF to Arbitrary Post DeletionEPSS 0.5%CVE-2022-4218MEDIUMChained Quiz <= 1.3.2.4 - Cross-Site Request Forgery to Arbitrary Quiz Deletion and CopyingEPSS 0.5%CVE-2021-23050—On BIG-IP Advanced WAF and BIG-IP ASM version 16.0.x before 16.0.1.2 and 15.1.x before 15.1.3 and NGINX App Protect on all versions before 3EPSS 0.5%CVE-2022-20961HIGHA vulnerability in the web-based management interface of Cisco Identity Services Engine (ISE) could allow an unauthenticated, remote attackeEPSS 0.5%CVE-2022-3898HIGHWP Affiliate Platform <= 6.3.9 - Cross-Site Request ForgeryEPSS 0.5%CVE-2020-23582MEDIUMA vulnerability in the "/admin/wlmultipleap.asp" of optilink OP-XT71000N version: V2.2 could allow an unauthenticated, remote attacker to coEPSS 0.5%CVE-2022-36373MEDIUMWordPress MP3 jPlayer plugin <= 2.7.3 - Multiple Cross-Site Request Forgery (CSRF) vulnerabilitiesEPSS 0.5%CVE-2020-23590MEDIUMA vulnerability in Optilink OP-XT71000N Hardware version: V2.2 , Firmware Version: OP_V3.3.1-191028 allows an unauthenticated remote attackeEPSS 0.5%CVE-2019-13930—A vulnerability has been identified in XHQ (All versions < V6.0.0.2). The web interface could allow a Cross-Site Request Forgery (CSRF) attaEPSS 0.5%CVE-2023-0988MEDIUMSourceCodester Online Pizza Ordering System cross-site request forgeryEPSS 0.5%CVE-2020-20502MEDIUMCross Site Request Forgery found in yzCMS v.2.0 allows a remote attacker to execute arbitrary code via the token check function.EPSS 0.5%CVE-2021-4394MEDIUMLocations <= 3.2.1 - Cross-Site Request Forgery BypassEPSS 0.5%