Falhas do tipo CWE-352

6.081 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2023-45103MEDIUMWordPress Permalinks Customizer Plugin <= 2.8.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-45268MEDIUMWordPress Hitsteps Web Analytics Plugin <= 5.86 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-46085MEDIUMWordPress Wp Ultimate Review Plugin <= 2.2.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-32435MEDIUMWordPress AffiEasy plugin <= 1.1.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-7326HIGHCross-site request forgery in Progress MarkLogic Server Admin UIEPSS 0.2%CVE-2023-45107MEDIUMWordPress GoodBarber Plugin <= 1.0.22 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2026-36956HIGHA Cross-Site Request Forgery (CSRF) vulnerability exists in the web management interface of the Dbit N300 T1 Pro wireless router V1.0.0. TheEPSS 0.2%CVE-2023-45606MEDIUMWordPress Simple URLs Plugin <= 120 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-44993MEDIUMWordPress ChatBot Plugin <= 4.7.8 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-45605MEDIUMWordPress Feed Statistics Plugin <= 4.1 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-46775MEDIUMWordPress Original texts Yandex WebMaster Plugin <= 1.18 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-45654MEDIUMWordPress Comments Ratings Plugin <= 1.1.7 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2026-94404HIGHMISP CSRF vulnerability allows unauthorized attribute modificationEPSS 0.2%CVE-2025-8592HIGHInspiro <= 2.1.2 - Cross-Site Request Forgery to Arbitrary Plugin InstallationEPSS 0.2%CVE-2026-40309HIGHMasa CMS CSRF in trash management allows unauthorized permanent deletion of deleted contentEPSS 0.2%CVE-2023-45653MEDIUMWordPress Video Playlist For YouTube Plugin <= 6.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-52130MEDIUMWordPress Affiliates Manager Plugin <= 2.9.31 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-32090MEDIUMWordPress Church Admin plugin <= 4.0.27 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-67366MEDIUMJoomla Extension - icagenda.com - CSRF on frontend registration actions in iCagenda < 2.0.0-4.0.11EPSS 0.2%CVE-2023-45752MEDIUMWordPress Post Gallery Plugin <= 2.3.12 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%