Falhas do tipo CWE-352

6.263 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2024-6317HIGHGenerate PDF using Contact Form 7 <= 4.1.2 - Cross-Site Request Forgery to Arbitrary File DeletionEPSS 0.6%CVE-2019-1958MEDIUMCisco HyperFlex Software Cross-Site Request Forgery VulnerabilityEPSS 0.6%CVE-2021-24761—Error Log Viewer < 1.1.2 - Arbitrary Text File Deletion via CSRFEPSS 0.6%CVE-2021-24230—Patreon WordPress < 1.7.0 - CSRF to Overwrite/Create User MetaEPSS 0.6%CVE-2023-0088HIGHSwifty Page Manager <= 3.0.1 - Cross-Site Request ForgeryEPSS 0.6%CVE-2020-13527MEDIUMAn authentication bypass vulnerability exists in the Web Manager functionality of Lantronix XPort EDGE 3.0.0.0R11, 3.1.0.0R9, 3.4.0.0R12 andEPSS 0.6%CVE-2021-4096HIGHFancy Product Designer <= 4.7.5 - Cross-Site Request Forgery to Arbitrary File UploadEPSS 0.6%CVE-2022-2432HIGHEcwid Ecommerce Shopping Cart <= 6.10.23 - Cross-Site Request Forgery to Settings/Options UpdateEPSS 0.6%CVE-2025-23411MEDIUMmySCADA myPRO Manager Cross-Site Request ForgeryEPSS 0.6%CVE-2022-41996HIGHWordPress Avada premium theme <= 7.8.1 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.6%CVE-2021-43846MEDIUMCSRF forgery protection bypass for Spree::OrdersController#populateEPSS 0.6%CVE-2023-1509HIGHGMAce <= 1.5.2 - Cross-Site Request Forgery to Arbitrary File Modification (Creation/Overwrite/Deletion)EPSS 0.6%CVE-2017-20053MEDIUMXYZScripts Contact Form Manager Plugin cross-site request forgeryEPSS 0.6%CVE-2021-24159—Contact Form 7 Style <= 3.1.9 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.6%CVE-2014-2369—Omron NS Series HMI Cross-Site Request ForgeryEPSS 0.6%CVE-2019-1857MEDIUMCisco HyperFlex HX-Series Web-Based Management Interface Cross-Site Request Forgery VulnerabilityEPSS 0.6%CVE-2020-7332HIGHCross-Site Request Forgery (CSRF) in firewall ePO extension of McAfee Endpoint Security (ENS)EPSS 0.6%CVE-2022-2184—CAPTCHA 4WP < 7.1.0 - Local File Inclusion via CSRFEPSS 0.6%CVE-2019-1658MEDIUMCisco Unified Intelligence Center Cross-Site Request Forgery VulnerabilityEPSS 0.6%CVE-2022-43719HIGHApache Superset: Cross Site Request Forgery (CSRF) on accept, request access APIEPSS 0.6%