Falhas do tipo CWE-352

6.081 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2025-65472HIGHA Cross-Site Request Forgery (CSRF) in the /admin/admin.inc.php component of EasyImages 2.0 v2.8.6 and below allows attackers to escalate prEPSS 0.2%CVE-2023-46078MEDIUMWordPress Serial Numbers for WooCommerce – License Manager Plugin <= 1.6.3 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2026-55742CRITICALCotonti CSRF in admin.rights.php allows privilege escalationEPSS 0.2%CVE-2023-47652HIGHWordPress Auto Affiliate Links Plugin <= 6.4.2.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-45109MEDIUMWordPress WhitePage Plugin <= 1.1.5 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-1339MEDIUMImageRecycle pdf & image compression <= 3.1.13 - Cross-Site Request Forgery to Plugin Data Removal in reinitializeEPSS 0.2%CVE-2024-24887MEDIUMWordPress Contest Gallery Plugin <= 21.2.8.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2025-39600MEDIUMWordPress Integration for WooCommerce and QuickBooks plugin <= 1.3.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2024-49275MEDIUMWordPress IdeaPush plugin <= 8.69 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-27276HIGHWordPress Photo Gallery ( Responsive ) plugin <= 4.0 - CSRF to Privilege Escalation vulnerabilityEPSS 0.2%CVE-2023-26248MEDIUMThe Kademlia DHT (go-libp2p-kad-dht 0.20.0 and earlier) used in IPFS (0.18.1 and earlier) assigns routing information for content (i.e., infEPSS 0.2%CVE-2023-45641MEDIUMWordPress Caret Country Access Limit Plugin <= 1.0.2 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-49250MEDIUMWordPress Table of Contents Plus plugin <= 2408 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-22143MEDIUMWordPress WP Spell Check Plugin <= 9.17 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-37198MEDIUMWordPress Digital Newspaper theme <= 1.1.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2023-46095MEDIUMWordPress Smooth Scroll Links Plugin <= 1.1.0 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-44995MEDIUMWordPress WooCommerce Login Redirect Plugin <= 2.2.4 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-43325MEDIUMWordPress Dark Mode for WP Dashboard plugin <= 1.2.3 - Cross Site Request Forgery vulnerabilityEPSS 0.2%CVE-2023-45068MEDIUMWordPress Contact Form by Supsystic Plugin <= 1.7.27 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%CVE-2023-45048MEDIUMWordPress Social proof testimonials and reviews by Repuso Plugin <= 5.00 is vulnerable to Cross Site Request Forgery (CSRF)EPSS 0.2%