Fallos del tipo CWE-352

6050 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2017-7906—In ABB IP GATEWAY 3.39 and prior, the web server does not sufficiently verify that a request was performed by the authenticated user, which EPSS 0.7%CVE-2024-52002HIGHCross-Site Request Forgery (CSRF) in several iTop pagesEPSS 0.7%CVE-2022-2039HIGHFree Live Chat Support <= 1.0.11 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.7%CVE-2022-2001HIGHDX Share Selection <= 1.4 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.7%CVE-2021-29435HIGHCross-Site Request Forgery (CSRF) in trestle-authEPSS 0.7%CVE-2023-50722CRITICALXWiki Platform XSS/CSRF Remote Code Execution in XWiki.ConfigurableClassEPSS 0.7%CVE-2024-27474HIGHLeantime 3.0.6 is vulnerable to Cross Site Request Forgery (CSRF). This vulnerability allows malicious actors to perform unauthorized actionEPSS 0.7%CVE-2022-2435HIGHAnyMind Widget <= 1.1 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.6%CVE-2021-41275CRITICALAuthentication Bypass by CSRF WeaknessEPSS 0.6%CVE-2022-0134—AnyComment < 0.2.18 - Arbitrary HyperComments Import/Revert via CSRFEPSS 0.6%CVE-2022-0914—Export All URLs < 4.3 - Private/Draft Post/Page Title Disclosure via CSRFEPSS 0.6%CVE-2019-12636HIGHCisco Small Business Smart and Managed Switches Cross-Site Request Forgery VulnerabilityEPSS 0.6%CVE-2022-2443HIGHFreeMind WP Browser <= 1.2 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.6%CVE-2024-48846HIGHCross Side Request Forgery, CSRFEPSS 0.6%CVE-2017-14011—A Cross-Site Request Forgery issue was discovered in ProMinent MultiFLEX M10a Controller web interface. The application does not sufficientlEPSS 0.6%CVE-2022-20853HIGHCisco Expressway Series and Cisco TelePresence VCS Cross-Site Request Forgery VulnerabilityEPSS 0.6%CVE-2018-7524—A cross-site request forgery vulnerability has been identified in Geutebruck G-Cam/EFD-2250 Version 1.12.0.4 and Topline TopFD-2125 Version EPSS 0.6%CVE-2017-6042—A Cross-Site Request Forgery issue was discovered in Sierra Wireless AirLink Raven XE, all versions prior to 4.0.14, and AirLink Raven XT, aEPSS 0.6%CVE-2022-3427HIGHCorner Ad <= 1.0.56 - Cross-Site Request ForgeryEPSS 0.6%CVE-2021-41113HIGHCross-Site-Request-Forgery in Backend URI Handling in Typo3EPSS 0.6%