Fallos del tipo CWE-352

6073 resultados

Falsificação de Requisição Entre Sites (CSRF)

A aplicação não valida se uma requisição legítima foi realmente iniciada pelo usuário autenticado, permitindo que um atacante force ações em nome da vítima. Um invasor engana o navegador do usuário a enviar requisições maliciosas para um site onde a vítima está logada, explorando a confiança automática do navegador.

Ejemplo

Um usuário logado em seu banco recebe um email com um link que, ao clicar, faz uma requisição invisível para transferir dinheiro. Como o navegador envia automaticamente os cookies de sessão do banco, a transferência é processada sem confirmação adicional do usuário.

Cómo mitigar

Implemente tokens CSRF únicos por sessão (validados em cada requisição POST/PUT/DELETE), use o padrão SameSite nos cookies, e exija confirmação do usuário para ações críticas. Frameworks modernos como Laravel, Django e Express têm proteção nativa — ative por padrão.

CVE-2024-0767MEDIUMEnvo's Elementor Templates & Widgets for WooCommerce <= 1.4.4 - Cross-Site Request Forgery via ajax_plugin_activationEPSS 0.3%CVE-2024-0433MEDIUMGestpay for WooCommerce <= 20221130 - Cross-Site Request Forgery (CSRF) via ajax_unset_default_cardEPSS 0.3%CVE-2021-36855MEDIUMWordPress Booking Ultra Pro plugin <= 1.1.4 - Cross-Site Scripting (XSS) via Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2026-12986HIGHA critical vulnerability in Admin GUI in Payara Server Full 4.x, 5.x, 6.x, 7.x, 7.2026.x, 6.2025.x, 6.2024.x on All platforms that allows thEPSS 0.3%CVE-2023-50923MEDIUMIn QUIC in RFC 9000, the Latency Spin Bit specification (section 17.4) does not strictly constrain the bit value when the feature is disableEPSS 0.3%CVE-2023-25832HIGHBUG-000148346 There is a Cross-Site Request Forgery (CSRF) vulnerability in Portal for ArcGIS.EPSS 0.3%CVE-2026-34613MEDIUMAVideo: CSRF on Plugin Enable/Disable Endpoint Allows Disabling Security PluginsEPSS 0.3%CVE-2022-46491MEDIUMA Cross-Site Request Forgery (CSRF) vulnerability in the Add Administrator function of the default version of nbnbk allows attackers to arbiEPSS 0.3%CVE-2024-27955HIGHWordPress Automatic plugin <= 3.92.0 - CSRF to Privilege Escalation vulnerabilityEPSS 0.3%CVE-2024-23831HIGHPrivilege escalation through CSRF attack on 'setup.pl'EPSS 0.3%CVE-2023-52150HIGHWordPress Dynamic Content for Elementor Plugin < 2.12.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2024-9990HIGHCrypto <= 2.15 - Cross-Site Request Forgery to Authentication BypassEPSS 0.3%CVE-2025-5766MEDIUMcode-projects Laundry System cross-site request forgeryEPSS 0.3%CVE-2025-4327MEDIUMMRCMS cross-site request forgeryEPSS 0.3%CVE-2023-23802MEDIUMWordPress HT Easy GA4 ( Google Analytics 4 ) Plugin <= 1.0.6 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-2440HIGHUserPro <= 5.1.1 - Cross-Site Request Forgery to Privilege EscalationEPSS 0.3%CVE-2022-45376MEDIUMWordPress Side Cart Woocommerce (Ajax) Plugin < 2.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-24414MEDIUMWordPress Robo Gallery Plugin <= 3.2.11 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%CVE-2023-1205HIGHNETGEAR Nighthawk WiFi6 Router prior to V1.0.10.94 is vulnerable to cross-site request forgery attacks on all endpoints due to improperly imEPSS 0.3%CVE-2023-25449MEDIUMWordPress CformsII Plugin <=15.0.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.3%