Falhas do tipo CWE-352

6.230 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2021-36908HIGHWordPress WP Reset PRO Premium Plugin <= 5.98 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.7%CVE-2018-0451—Cisco Tetration Analytics Cross-Site Request Forgery VulnerabilityEPSS 0.7%CVE-2021-41245MEDIUMPossible Cross-Site Request Forgery in Combodo iTopEPSS 0.7%CVE-2022-2541HIGHuContext for Amazon <= 3.9.1 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.7%CVE-2021-34637HIGHPost Index <= 0.7.5 Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.7%CVE-2021-34634HIGHNifty Newsletters <= 4.0.23 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.7%CVE-2021-34628HIGHAdmin Custom Login <= 3.2.7 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.7%CVE-2021-24218—Facebook for WordPress 3.0.0-3.0.3 - CSRF to Stored XSS and Settings DeletionEPSS 0.7%CVE-2019-1764HIGHCisco IP Phone 8800 Series Cross-Site Request Forgery VulnerabilityEPSS 0.7%CVE-2022-3427HIGHCorner Ad <= 1.0.56 - Cross-Site Request ForgeryEPSS 0.7%CVE-2024-22939HIGHCross Site Request Forgery vulnerability in FlyCms v.1.0 allows a remote attacker to execute arbitrary code via the system/article/category_EPSS 0.7%CVE-2024-31988CRITICALXWiki Platform CSRF remote code execution through the realtime HTML Converter APIEPSS 0.7%CVE-2020-8168—We have recently released new version of AirMax AirOS firmware v6.3.0 for TI, XW and XM boards that fixes vulnerabilities found on AirMax AiEPSS 0.7%CVE-2022-2542HIGHuContext for Clickbank <= 3.9.1 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.7%CVE-2022-2233HIGHBanner Cycler <= 1.4 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.7%CVE-2021-1227HIGHCisco NX-OS Software NX-API Cross-Site Request Forgery VulnerabilityEPSS 0.7%CVE-2021-24711—Software License Manager < 4.5.1 - Arbitrary Domain Deletion via CSRFEPSS 0.7%CVE-2022-40623—WAVLINK Quantum D4G (WN531G3) CSRFEPSS 0.7%CVE-2019-1722MEDIUMCisco Expressway Series and Cisco TelePresence Video Communication Server Cross-Site Request Forgery VulnerabilityEPSS 0.7%CVE-2018-0364—A vulnerability in the web-based management interface of Cisco Unified Communications Domain Manager could allow an unauthenticated, remote EPSS 0.7%