Fallos del tipo CWE-352

6107 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2025-54728MEDIUMWordPress CM On Demand Search And Replace Plugin <= 1.5.2 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2026-22360MEDIUMWordPress SearchAzon plugin <= 1.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-24962MEDIUMWordPress Sigmize plugin <= 0.0.9 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-55041HIGHMuraCMS through 10.1.10 contains a CSRF vulnerability in the Add To Group functionality for user management (cUsers.cfc addToGroup method) tEPSS 0.1%CVE-2025-57885MEDIUMWordPress Fluent Support Plugin <= 1.9.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-64288MEDIUMWordPress Premmerce plugin <= 1.3.19 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-65488HIGHWordPress LA-Studio Element Kit for Elementor plugin <= 1.6.2 - Cross Site Request Forgery (CSRF) to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-64226MEDIUMWordPress Stockie Extra plugin <= 1.2.11 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-28172HIGHWordPress Tracking Code Manager plugin <= 2.6.0 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2026-65539HIGHWordPress Kwayy HTML Sitemap plugin <= 4.0 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-64290MEDIUMWordPress Premmerce Product Search for WooCommerce plugin <= 2.2.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-24942MEDIUMWordPress WpEvently plugin <= 5.1.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-65540HIGHWordPress Popup for CF7 with Sweet Alert plugin <= 1.6.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-55044HIGHThe Trash Restore CSRF vulnerability in MuraCMS through 10.1.10 allows attackers to restore deleted content from the trash to unauthorized lEPSS 0.1%CVE-2026-30498MEDIUMA Cross-Site Request Forgery (CSRF) vulnerability was discovered in the delete.php endpoint of Jason2605 AdminPanel 4.0.EPSS 0.1%CVE-2026-57758HIGHWordPress Permalink Manager for WooCommerce plugin <= 1.0.8.2 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2026-84759HIGHWordPress Activity Log plugin <= 2.13.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-54732MEDIUMWordPress WPDM – Premium Packages Plugin <= 6.0.2 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-49040MEDIUMWordPress Backup Bolt plugin <= 1.5.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-22462MEDIUMWordPress Add Polylang support for Customizer plugin <= 1.4.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%