Fallos del tipo CWE-352

6089 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2025-31032HIGHWordPress Pagopar – WooCommerce Gateway plugin <= 2.7.1 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-32112HIGHWordPress Sidebar Manager Light plugin <= 1.18 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31395HIGHWordPress Easy Custom CSS plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-32479HIGHWordPress Flags Widget plugin <= 1.0.7 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-32480HIGHWordPress Windows Live Writer plugin <= 0.1 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-37306HIGHCVAT's export and backup-related API endpoints are susceptible to CSRFEPSS 0.2%CVE-2025-31385HIGHWordPress Site Table of Contents plugin <= 0.3 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31390HIGHWordPress Social Crowd plugin <= 0.9.6.1 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-12545MEDIUMScratch & Win – Giveaways and Contests <= 2.7.1 - Cross-Site Request Forgery via reset_installation FunctionEPSS 0.2%CVE-2025-32476HIGHWordPress Advanced Tag Lists plugin <= 1.2 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31400HIGHWordPress WS Audio Player plugin <= 1.1.8 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-31784MEDIUMWordPress Embed Extended – Embed Maps, Videos, Websites, Source Codes, and more Plugin <= 1.4.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2023-50886MEDIUMWordPress Legal Pages plugin <= 1.3.7 - CSRF + Broken Access Control vulnerabilityEPSS 0.2%CVE-2025-31776MEDIUMWordPress Uptime Robot Plugin <= 2.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-8891MEDIUMOceanWP <= 4.0.9 - 4.1.1 - Cross-Site Request Forgery to Ocean Extra Plugin InstallationEPSS 0.2%CVE-2024-32105MEDIUMWordPress ELEX WooCommerce Dynamic Pricing and Discounts plugin <= 2.1.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-32494MEDIUMWordPress reCAPTCHA Jetpack plugin <= 0.2.2 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-31845MEDIUMWordPress Theme Duplicator Plugin <= 1.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-31769MEDIUMWordPress CLP – Custom Login Page by NiteoThemes plugin <= 1.5.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-31775MEDIUMWordPress Google SEO Pressor for Rich snippets Plugin <= 2.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%