Falhas do tipo CWE-352

6.074 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2023-38512MEDIUMWordPress WpStream plugin <= 4.5.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.3%CVE-2022-46794MEDIUMWordPress WooCommerce Weight Based Shipping Plugin <= 5.4.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2026-27841HIGHSenseLive X3050 Cross-Site request forgeryEPSS 0.2%CVE-2023-48744MEDIUMWordPress Availability Calendar Plugin <= 1.2.6 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-49824MEDIUMWordPress Product Catalog Feed by PixelYourSite Plugin <= 2.1.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2022-47165MEDIUMWordPress CoSchedule Plugin <= 3.3.8 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-41730MEDIUMWordPress SendPress Newsletters Plugin <= 1.22.3.31 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-34814MEDIUMWordPress Unyson plugin <=2.7.29 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-86135HIGHDimension CSRF Vulnerability in Database Snapshot Creation Allows Denial of ServiceEPSS 0.2%CVE-2023-49744MEDIUMWordPress Gift Up Gift Cards for WordPress and WooCommerce Plugin <= 2.21.3 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-11143MEDIUMKognetiks Chatbot for WordPress <= 2.1.8 - Cross-Site Request Forgery to Authenticated (Subscriber+) Assistant ModificationEPSS 0.2%CVE-2023-51673MEDIUMWordPress Stylish Price List Plugin <= 7.0.17 is vulnerable to Broken Access ControlEPSS 0.2%CVE-2024-28828HIGH1-Click compromize via CSRFEPSS 0.2%CVE-2023-25033MEDIUMWordPress Social Share Boost Plugin <= 4.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-39923MEDIUMWordPress The Post Grid Plugin <= 7.2.7 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-38396MEDIUMWordPress Google Map Shortcode Plugin <= 3.1.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-25448MEDIUMWordPress Archivist – Custom Archive Templates Plugin <= 1.7.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2022-32516HIGHA CWE-352: Cross-Site Request Forgery (CSRF) vulnerability exists that could cause system’s configurations override and cause a reboot loop EPSS 0.2%CVE-2026-15212HIGHWPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) <= 43.2 - Cross-Site Request Forgery to Privilege Escalation via Plugin Settings UpdateEPSS 0.2%CVE-2022-41633MEDIUMWordPress Community by PeepSo Plugin <= 6.0.2.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%