Fallos del tipo CWE-352

6107 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2026-84759HIGHWordPress Activity Log plugin <= 2.13.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-58865MEDIUMWordPress Compact Admin plugin <= 1.3.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-58807HIGHWordPress Purge Varnish Cache Plugin <= 2.6 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2026-65540HIGHWordPress Popup for CF7 with Sweet Alert plugin <= 1.6.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-30498MEDIUMA Cross-Site Request Forgery (CSRF) vulnerability was discovered in the delete.php endpoint of Jason2605 AdminPanel 4.0.EPSS 0.1%CVE-2026-57761HIGHWordPress SEOWP theme <= 3.12.2 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2026-24966MEDIUMWordPress Copyscape Premium plugin <= 1.4.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-64357MEDIUMWordPress Advanced Database Cleaner plugin <= 3.1.6 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-64286MEDIUMWordPress WP Rentals theme <= 3.13.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-57892MEDIUMWordPress Simple Statistics for Feeds Plugin <= 20250322 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-48320HIGHWordPress 百度分享按钮 plugin <= 1.0.6 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-48109HIGHWordPress XM-Backup plugin <= 0.9.1 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-58956HIGHWordPress WP Attractive Donations System Plugin < 1.29 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58806HIGHWordPress WordPress Error Monitoring by Bugsnag Plugin <= 1.6.3 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-68998MEDIUMWordPress Heateor Social Login plugin <= 1.1.39 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-58843HIGHWordPress Auto Last Youtube Video Plugin <= 1.0.7 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-48078HIGHWordPress Slick Google Map plugin <= 0.3 - Cross Site Request Forgery (CSRF) to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-54286HIGHCSRF Vulnerability When Using Client Certificate Authentication with the LXD-UIEPSS 0.1%CVE-2025-58576MEDIUMCross-site request forgery vulnerability exists in GroupSession Free edition prior to ver5.3.0, GroupSession byCloud prior to ver5.3.3, and EPSS 0.1%CVE-2025-48351HIGHWordPress Kento Splash Screen plugin <= 1.4 - Cross Site Request Forgery (CSRF) to Stored XSS vulnerabilityEPSS 0.1%