Fallos del tipo CWE-352

6105 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2025-32262MEDIUMWordPress RDP Wiki Embed plugin <= 1.2.20 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2026-18848HIGHPower System Cross-Site Request Forgery (CSRF)EPSS 0.2%CVE-2025-4337MEDIUMAHAthat Plugin <= 1.6 - Cross-Site Request Forgery to AHA Page DeletionEPSS 0.2%CVE-2025-3284MEDIUMUser Registration & Membership PRO – Custom Registration Form, Login Form, and User Profile <= 5.1.3 - Cross-Site Request Forgery to User DeletionEPSS 0.2%CVE-2025-55744MEDIUMUnoPim vulnerable to CSRF on Product edit feature and creation of other typesEPSS 0.2%CVE-2025-32267MEDIUMWordPress WP to Hootsuite plugin <= 1.5.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-14853MEDIUMLEAV Last Email Address Validator <= 1.7.1 - Cross-Site Request Forgery to Plugin Settings UpdateEPSS 0.2%CVE-2026-5365MEDIUMLatePoint <= 5.3.2 - Cross-Site Request Forgery via 'customer_cabinet__request_cancellation' AJAX RouteEPSS 0.2%CVE-2025-14472HIGHAcquia Content Hub - Moderately critical - Cross-Site Request Forgery - SA-CONTRIB-2025-125EPSS 0.2%CVE-2026-60642HIGHVulnerability in the Oracle WebCenter Content product of Oracle Fusion Middleware (component: Content Server). Supported versions that are EPSS 0.2%CVE-2025-28964HIGHWordPress Personal Favicon plugin <= 2.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2026-1398MEDIUMChange WP URL <= 1.0 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2024-4600HIGHCross-Site Request Forgery vulnerability in Socomec Net VisionEPSS 0.2%CVE-2024-56232HIGHWordPress WP Nice Loader plugin <= 0.1.0.4 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-27340MEDIUMWordPress F12-Profiler Plugin <= 1.3.9 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-30981MEDIUMWordPress WP-Recall plugin <= 16.26.14 - CSRF to Privilege Escalation vulnerabilityEPSS 0.2%CVE-2026-39436HIGHWordPress CformsII plugin <= 15.1.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-14873MEDIUMLatePoint – Calendar Booking Plugin for Appointments and Events <= 5.2.5 - Cross-Site Request ForgeryEPSS 0.2%CVE-2025-27336MEDIUMWordPress Just Variables Plugin <= 1.2.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-13194MEDIUMSurveyJS: Drag & Drop WordPress Form Builder to create, style and embed multiple forms of any complexity <= 2.5.2 - Cross-Site Request Forgery to Survey RenamingEPSS 0.2%