Falhas do tipo CWE-352

6.251 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2021-24696—Simple Download Monitor < 3.9.9 - Multiple CSRFEPSS 0.6%CVE-2022-0499—Sermon Browser <= 0.45.22 - Arbitrary File Upload via CSRFEPSS 0.6%CVE-2021-24803—Core Tweaks WP Setup <= 4.1 - Arbitrary Admin Account Creation / Admin Email Update via CSRFEPSS 0.6%CVE-2025-55147HIGHCSRF in Ivanti Connect Secure before 22.7R2.9 or 22.8R2, Ivanti Policy Secure before 22.7R1.6, Ivanti ZTA Gateway before 2.8R2.3-723 and IvaEPSS 0.6%CVE-2018-13800—A vulnerability has been identified in SIMATIC S7-1200 CPU family version 4 (All versions < V4.2.3). The web interface could allow a Cross-SEPSS 0.6%CVE-2021-34636HIGHCountdown and CountUp, WooCommerce Sales Timer <= 1.5.7 Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-42358HIGHContact Form With Captcha <= 1.6.2 Cross-Site Request Forgery to Reflected Cross-Site ScriptingEPSS 0.6%CVE-2021-42364HIGHStetic <= 1.0.6 Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.6%CVE-2022-1611—Bulk Page Creator < 1.1.4 - Arbitrary Page Creation via CSRFEPSS 0.6%CVE-2021-43559—A flaw was found in Moodle in versions 3.11 to 3.11.3, 3.10 to 3.10.7, 3.9 to 3.9.10 and earlier unsupported versions. The "delete related bEPSS 0.6%CVE-2022-1765—Hot Linked Image Cacher <= 1.16 - Image upload/cache abuse via CSRFEPSS 0.6%CVE-2024-10557MEDIUMcode-projects Blood Bank Management System updateprofile.php cross-site request forgeryEPSS 0.6%CVE-2022-42199HIGHSimple Exam Reviewer Management System v1.0 is vulnerable to Cross Site Request Forgery (CSRF) via the Exam List.EPSS 0.6%CVE-2020-36505—Delete All Comments Easily <= 1.3 - All Comments Deletion via CSRFEPSS 0.6%CVE-2025-26206CRITICALCross Site Request Forgery vulnerability in sell done storefront v.1.0 allows a remote attacker to escalate privileges via the index.html coEPSS 0.6%CVE-2022-3852HIGHVR Calendar <= 2.3.3 - Cross-Site Request ForgeryEPSS 0.6%CVE-2023-40572CRITICALXWiki Platform vulnerable to CSRF privilege escalation/RCE via the create actionEPSS 0.6%CVE-2021-24704—Orange Form <= 1.0 - SQL Injection via CSRFEPSS 0.6%CVE-2022-47130MEDIUMA Cross-Site Request Forgery (CSRF) in Academy LMS before v5.10 allows a discount coupon to be arbitrarily created if an attacker with adminEPSS 0.6%CVE-2022-1912HIGHButton Widget Smartsoft <= 1.0.1 - Cross-Site Request Forgery to Cross-Site ScriptingEPSS 0.6%