Falhas do tipo CWE-352

6.263 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2021-36886MEDIUMWordPress Contact Form 7 Database Addon – CFDB7 plugin <= 1.2.5.9 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.6%CVE-2021-38480CRITICALInHand Networks IR615 RouterEPSS 0.6%CVE-2021-24467—Leaflet Map < 3.0.0 - Arbitrary Settings Update via CSRF Leading to Stored XSSEPSS 0.6%CVE-2021-24324—404 SEO Redirection <= 1.3 - CSRF to Stored Cross-Site Scripting (XSS)EPSS 0.6%CVE-2021-34631HIGHNewsPlugin <= 1.0.18 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.6%CVE-2022-2518HIGHStockists Manager for Woocommerce <= 1.0.2.1 - Cross-Site Request Forgery to Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-24490—Email Artillery <= 4.1 - Arbitrary File UploadEPSS 0.6%CVE-2022-34020HIGHCross Site Request Forgery (CSRF) vulnerability in ResIOT ResIOT IOT Platform + LoRaWAN Network Server through 4.1.1000114 allows attackers EPSS 0.6%CVE-2021-4131MEDIUMCross-Site Request Forgery (CSRF) in livehelperchat/livehelperchatEPSS 0.6%CVE-2023-29003HIGHSvelteKit has Insufficient Cross-Site Request Forgery ProtectionEPSS 0.6%CVE-2020-3456HIGHCisco FXOS Software Firepower Chassis Manager Cross-Site Request Forgery VulnerabilityEPSS 0.6%CVE-2020-6776HIGHCSRF in Bosch PRAESIDEO and Bosch PRAESENSA Management InterfaceEPSS 0.6%CVE-2021-3901LOWCross-Site Request Forgery (CSRF) in firefly-iii/firefly-iiiEPSS 0.6%CVE-2022-1732—Rename wp-login.php <= 2.6.0 - Secret URL Update via CSRFEPSS 0.6%CVE-2021-24922—Pixel Cat Lite < 2.6.2 - CSRF to Stored Cross-Site ScriptingEPSS 0.6%CVE-2021-3900MEDIUMCross-Site Request Forgery (CSRF) in firefly-iii/firefly-iiiEPSS 0.6%CVE-2025-25101CRITICALWordPress Munk Sites plugin <= 1.0.7 - CSRF to Arbitrary Plugin Installation vulnerabilityEPSS 0.6%CVE-2024-45693HIGHApache CloudStack: Request origin validation bypass makes account takeover possibleEPSS 0.5%CVE-2021-24823—Support Board < 3.3.6 - Arbitrary File Deletion via CSRFEPSS 0.5%CVE-2021-24674—Genie WP Favicon <= 0.5.2 - Arbitrary Favicon Change via CSRFEPSS 0.5%