Fallos del tipo CWE-352

6106 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2025-54682MEDIUMWordPress Connector for Gravity Forms and Google Sheets Plugin plugin <= 1.2.4 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58798MEDIUMWordPress BCM Duplicate Menu plugin <= 1.1.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-58792MEDIUMWordPress Authors List plugin <= 2.0.6.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2020-37217MEDIUMEasy2Pilot 7 Cross-Site Request Forgery via admin.phpEPSS 0.1%CVE-2025-48342MEDIUMWordPress Dynamic Pricing & Discounts Lite for WooCommerce plugin <= 2.0.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-1392MEDIUMSR WP Minify HTML <= 2.1 - Cross-Site Request Forgery to Settings UpdateEPSS 0.1%CVE-2025-60115MEDIUMWordPress Instapage plugin plugin <= 3.7.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-62890MEDIUMWordPress Premmerce Brands for WooCommerce plugin <= 1.2.13 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-60137MEDIUMWordPress Post Featured Video Plugin <= 1.7 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58200MEDIUMWordPress Flexible FAQ Plugin <= 0.2 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-54030MEDIUMWordPress WooCommerce Google Sheet Connector plugin <= 1.3.20 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58802MEDIUMWordPress TrustMate.io – WooCommerce integration plugin <= 1.16.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-1390MEDIUMRedirect countdown <= 1.0 - Cross-Site Request Forgery to Settings UpdateEPSS 0.1%CVE-2025-31457MEDIUMWordPress LWS SMS plugin <= 2.4.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-49077MEDIUMWordPress Dynamic Pricing and Discount Rules plugin <= 2.2.9 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-54035MEDIUMWordPress Newsletters plugin <= 4.10 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-60134MEDIUMWordPress WP Media Categories Plugin <= 2.1.0 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-48318MEDIUMWordPress 多说社会化评论框 plugin <= 1.2 - Cross Site Request Forgery (CSRF) to Settings Change vulnerabilityEPSS 0.1%CVE-2025-48310MEDIUMWordPress Table Editor plugin <= 1.6.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-48153HIGHWordPress Import CDN-Remote Images plugin <= 2.1.2 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%