Fallos del tipo CWE-352

6073 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2023-2497HIGHUserPro <= 5.1.0 - Cross-Site Request Forgery to PHP Object InjectionEPSS 0.3%CVE-2024-1501MEDIUMDatabase Reset <= 3.22 - Cross-Site Request Forgery to WP Reset Plugin InstallationEPSS 0.3%CVE-2024-1760MEDIUMAppointment Booking Calendar — Simply Schedule Appointments Booking Plugin <= 1.6.6.20 - Cross-Site Request Forgery to Plugin Data ResetEPSS 0.3%CVE-2023-47870HIGHWordPress wpForo Forum Plugin <= 2.2.6 is vulnerable to Broken Access Control and Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-1089MEDIUMCoupon Zen < 1.0.6 - Arbitrary Plugin Activation via CSRFEPSS 0.3%CVE-2024-1415MEDIUMResponsive Contact Form Builder & Lead Generation Plugin <= 1.8.9 - Cross-Site Request ForgeryEPSS 0.3%CVE-2022-4386—Intuitive Custom Post Order < 3.1.4 - Arbitrary Menu Order Update via CSRFEPSS 0.3%CVE-2025-2832MEDIUMmingyuefusu 明月复苏 tushuguanlixitong 图书管理系统 cross-site request forgeryEPSS 0.3%CVE-2025-22784HIGHWordPress Background Control plugin <= 1.0.5 - CSRF to Arbitrary File Deletion vulnerabilityEPSS 0.3%CVE-2023-23813MEDIUMWordPress My Calendar Plugin <= 3.4.3 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2021-36915MEDIUMWordPress Profile Builder plugin <= 3.6.0 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2025-13282HIGHChunghwa Telecom｜TenderDocTransfer - Arbitrary File DeleteEPSS 0.3%CVE-2026-95658MEDIUMMISP CSRF vulnerability in workflow moduleStatelessExecution allows cross-site execution of workflow modulesEPSS 0.3%CVE-2026-7444HIGHSearch Analytics for WP <= 1.4.16 - Cross-Site Request ForgeryEPSS 0.3%CVE-2023-40172MEDIUMCross-Site Request Forgery (CSRF) in fobybus/social-media-skeletonEPSS 0.3%CVE-2024-32091MEDIUMWordPress Sangar Slider plugin <= 1.3.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2023-27430MEDIUMWordPress Mass Delete Unused Tags Plugin <= 2.0.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-2508MEDIUMCSRF in PaperCutNG Mobility Print leads to sophisticated phishingEPSS 0.3%CVE-2023-27423MEDIUMWordPress Auto Prune Posts Plugin <= 1.8.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-45141HIGHCSRF Token Validation Vulnerability in fiberEPSS 0.3%