Falhas do tipo CWE-352

6.077 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2023-25707MEDIUMWordPress VikBooking Hotel Booking Engine & PMS Plugin <= 1.5.12 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-32693HIGHWordPress Automatic plugin < 3.93.0 - Multiple Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-8739MEDIUMzhenfeng13 My-Blog save cross-site request forgeryEPSS 0.2%CVE-2023-22700MEDIUMWordPress PixelYourSite – Your smart PIXEL (TAG) Manager Plugin <= 9.3.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-8476MEDIUMEasy PayPal Events <= 1.2.1 - Cross-Site Request Forgery to Arbitrary Post DeletionEPSS 0.2%CVE-2023-24388MEDIUMWordPress Booking calendar, Appointment Booking System Plugin <= 3.2.3 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2025-53095CRITICALSunshine application-wide CSRF in the UI leads to command injection as AdministratorEPSS 0.2%CVE-2025-0393MEDIUMRoyal Elementor Addons and Templates <= 1.7.1006 - Cross-Site Request Forgery to Reflected Cross-Site ScriptingEPSS 0.2%CVE-2022-47179MEDIUMWordPress OWM Weather Plugin <= 5.6.11 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2022-43470HIGHCross-site request forgery (CSRF) vulnerability in +F FS040U software versions v2.3.4 and earlier, +F FS020W software versions v4.0.0 and eaEPSS 0.2%CVE-2024-29009MEDIUMCross-site request forgery (CSRF) vulnerability in easy-popup-show all versions allows a remote unauthenticated attacker to hijack the autheEPSS 0.2%CVE-2025-20228MEDIUMMaintenance mode state change of App Key Value Store (KVStore) through a Cross-Site Request Forgery (CSRF) in Splunk EnterpriseEPSS 0.2%CVE-2026-78610HIGHDimension CSRF Vulnerability in Administrator Passphrase Change EndpointEPSS 0.2%CVE-2022-47612MEDIUMWordPress Participants Database Plugin <= 2.4.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2026-57786HIGHWordPress WorkScout-Core plugin <= 1.7.08 - Cross Site Request Forgery (CSRF) to Broken Authentication vulnerabilityEPSS 0.2%CVE-2022-47148MEDIUMWordPress WooCommerce PDF Invoices & Packing Slips Plugin <= 3.2.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2022-45804MEDIUMWordPress Robo Gallery Plugin <= 3.2.9 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-22155MEDIUMWordPress WooCommerce plugin <= 8.5.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2023-23865MEDIUMWordPress Stripe Payments For WooCommerce by Checkout Plugin <= 1.4.10 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-23899MEDIUMWordPress Extensions For CF7 Plugin <= 2.0.8 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%