Fallos del tipo CWE-352

6076 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2023-25991MEDIUMWordPress RegistrationMagic Plugin <= 5.1.9.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2022-46841MEDIUMWordPress Oxygen Builder Plugin < 4.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-37974MEDIUMWordPress WP-FB-AutoConnect Plugin <= 4.6.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-41667MEDIUMWordPress WP-dTree Plugin <= 4.4.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2022-45371MEDIUMWordPress ShopEngine Plugin <= 4.1.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2022-46793MEDIUMWordPress Product Feed PRO for WooCommerce Plugin <= 12.4.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-37968MEDIUMWordPress Falang multilanguage Plugin <= 1.3.39 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-36513MEDIUMWordPress AutomateWoo Plugin <= 5.7.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2026-52800HIGHGogs: CSRF Leading to Organization Owner TakeoverEPSS 0.2%CVE-2026-14016MEDIUMInappropriate implementation in SVG in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafteEPSS 0.2%CVE-2023-6980MEDIUMWP SMS <= 6.5 - Cross-Site Request Forgery to Subscriber DeletionEPSS 0.2%CVE-2025-43745MEDIUMA CSRF vulnerability in Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q2.0 through 2025.Q2.7, 2025.Q1.0 through 2025.Q1.14, 2EPSS 0.2%CVE-2023-38396MEDIUMWordPress Google Map Shortcode Plugin <= 3.1.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-23861MEDIUMWordPress GMAce Plugin <= 1.5.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-34817MEDIUMWordPress Integration for Pipedrive and Contact Form 7, WPForms, Elementor, Ninja Forms plugin <= 1.2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2023-28949MEDIUMIBM Engineering Requirements Management cross-site request forgeryEPSS 0.2%CVE-2023-48283MEDIUMWordPress Simple Testimonials Showcase Plugin <= 1.1.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-34823MEDIUMWordPress Arigato Autoresponder and Newsletter plugin <= 2.7.2.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-34827MEDIUMWordPress Translate Multilingual sites – TranslatePress plugin <= 2.7.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-43945MEDIUMWordPress LatePoint plugin <= 4.9.91 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%