Fallos del tipo CWE-352

6073 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2023-5511MEDIUMCross-Site Request Forgery (CSRF) in snipe/snipe-itEPSS 0.3%CVE-2023-2508MEDIUMCSRF in PaperCutNG Mobility Print leads to sophisticated phishingEPSS 0.3%CVE-2023-45141HIGHCSRF Token Validation Vulnerability in fiberEPSS 0.3%CVE-2024-13758MEDIUMCP Contact Form with PayPal <= 1.3.52 - Cross-Site Request ForgeryEPSS 0.3%CVE-2023-49760MEDIUMWordPress WPsoonOnlinePage Plugin <= 1.9 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-5898LOWCross-Site Request Forgery (CSRF) in pkp/pkp-libEPSS 0.3%CVE-2022-46842MEDIUMWordPress JS Help Desk plugin <= 2.7.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2026-68923MEDIUMMobSF: CSRF checks not enforced after Django migrationEPSS 0.3%CVE-2022-45807MEDIUMWordPress WP Mail Log Plugin <= 1.0.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2026-63123MEDIUMTina: Cross-origin `POST /media/upload/*` requests can write arbitrary files into the Tina dev server media rootEPSS 0.3%CVE-2022-46856MEDIUMWordPress Woocommerce Product Designer Plugin <= 4.3.3 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2025-48740MEDIUMA Cross-Site Request Forgery (CSRF) vulnerability in StrangeBee TheHive 5.2.0 before 5.2.16, 5.3.0 before 5.3.11, 5.4.0 before 5.4.10, and 5EPSS 0.3%CVE-2022-45080MEDIUMWordPress Add Multiple Marker Plugin <= 1.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2024-0428HIGHIndex Now <= 2.6.3 - Cross-Site Request Forgery via reset_formEPSS 0.3%CVE-2023-23790HIGHWordPress Pods Plugin <= 2.9.10.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-24419HIGHWordPress Formidable Forms Plugin <= 5.5.6 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-46617MEDIUMWordPress AdFoxly – Ad Manager, AdSense Ads & Ads.txt Plugin <= 1.8.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2022-46800MEDIUMWordPress LiteSpeed Cache Plugin <= 5.3 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2022-44585MEDIUMWordPress Homepage Pop-up Plugin <= 1.2.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-48282MEDIUMWordPress Taxonomy filter Plugin <= 2.2.9 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%