Fallos del tipo CWE-352

6267 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2021-4017HIGHCross-Site Request Forgery (CSRF) in star7th/showdocEPSS 0.6%CVE-2021-24328—WP Login Security and History <= 1.0 - CSRF to Stored Cross-Site Scripting (XSS)EPSS 0.6%CVE-2021-36444HIGHCross Site Request Forgery (CSRF) vulnerability in imcat 5.4 allows remote attackers to gain escalated privileges via flaws one time token gEPSS 0.6%CVE-2021-24879—SupportCandy < 2.2.7 - CSRF to Cross-Site ScriptingEPSS 0.6%CVE-2021-36443HIGHCross Site Request Forgery vulnerability in imcat 5.4 allows remote attackers to escalate privilege via lack of token verification.EPSS 0.6%CVE-2022-1758—Genki Pre-Publish Reminder <= 1.4.1 - Stored XSS & RCE via CSRFEPSS 0.6%CVE-2022-0770—Translate WordPress with GTranslate < 2.9.9 - CSRF to Account TakeoverEPSS 0.6%CVE-2020-15156MEDIUMXSS due to lack of CSRF validation for replying/publishingEPSS 0.6%CVE-2021-25010—Post Snippets < 3.1.4 - CSRF to Stored Cross-Site ScriptingEPSS 0.6%CVE-2022-43407HIGHJenkins Pipeline: Input Step Plugin 451.vf1a_a_4f405289 and earlier does not restrict or sanitize the optionally specified ID of the 'input'EPSS 0.6%CVE-2022-35943MEDIUMSameSite may allow cross-site request forgery (CSRF) protection to be bypassedEPSS 0.6%CVE-2023-3977MEDIUMInisev Plugins (Various Versions) - Cross-Site Request Forgery on handle_installation functionEPSS 0.6%CVE-2021-32730MEDIUMNo CSRF protection on the password change formEPSS 0.6%CVE-2022-3240HIGHFollow Me Plugin <= 3.1.1 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.6%CVE-2021-43353HIGHCrisp Live Chat <= 0.31 Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.6%CVE-2022-24879HIGHMalfunction of Cross-Site Request Forgery token validationEPSS 0.6%CVE-2022-0335—A flaw was found in Moodle in versions 3.11 to 3.11.4, 3.10 to 3.10.8, 3.9 to 3.9.11 and earlier unsupported versions. The "delete badge aliEPSS 0.6%CVE-2024-20255HIGHA vulnerability in the SOAP API of Cisco Expressway Series and Cisco TelePresence Video Communication Server could allow an unauthenticated,EPSS 0.6%CVE-2022-1900HIGHCopify <= 1.3.0 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.6%CVE-2022-1672—Insights from Google PageSpeed < 4.0.7 - Multiple CSRFEPSS 0.6%