Falhas do tipo CWE-352

6.098 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2015-20113MEDIUMRealtyScript 4.0.2 Multiple Cross-Site Request Forgery and Persistent Cross-Site Scripting VulnerabilitiesEPSS 0.2%CVE-2026-67990MEDIUMbasecamp/upright at commit efe4f2e5254ac6e57e45d2261804cca74dbbca3f disables Rails CSRF protection for its Alertmanager and Prometheus proxyEPSS 0.2%CVE-2026-40471CRITICALHackage CSRF vulnerabilityEPSS 0.2%CVE-2024-13774MEDIUMWishlist for WooCommerce: Multi Wishlists Per Customer <= 3.1.7 - Cross-Site Request Forgery to Cross-Site Scriping via Wishlist NameEPSS 0.2%CVE-2025-24636HIGHWordPress MachForm Shortcode plugin <= 1.4.1 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-47661MEDIUMWordPress 워드프레스 결제 심플페이 plugin <= 5.2.11 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2019-25252MEDIUMTeradek VidiU Pro 3.0.3 Cross-Site Request Forgery via Password ChangeEPSS 0.2%CVE-2024-41811LOWipl/web susceptible to Cross-Site Request Forgery (CSRF)EPSS 0.2%CVE-2024-37923MEDIUMWordPress Cliengo – Chatbot plugin <= 3.0.4 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-49511HIGHWordPress Civi Framework plugin <= 2.1.6 - Cross Site Request Forgery (CSRF) to User Deactivation vulnerabilityEPSS 0.2%CVE-2025-13990MEDIUMMamurjor Employee Info <= 1.0.0 - Cross-Site Request Forgery to Arbitrary Employee and Related Data ManipulationEPSS 0.2%CVE-2024-42768MEDIUMA Cross-Site Request Forgery (CSRF) vulnerability was found in Kashipara Hotel Management System v1.0 via /admin/delete_room.php.EPSS 0.2%CVE-2025-7835MEDIUMiThoughts Advanced Code Editor <= 1.2.10 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%CVE-2024-9588MEDIUMCategory and Taxonomy Meta Fields <= 1.0.0 - Cross-Site Request Forgery to Taxonomy Meta Add/DeleteEPSS 0.2%CVE-2026-45129MEDIUMMyBB: ACP Recovery Codes CSRFEPSS 0.2%CVE-2026-5219HIGHCSRF in Softtr's E-Commerce PackEPSS 0.2%CVE-2025-62258HIGHCSRF vulnerability in Headless API in Liferay Portal 7.4.0 through 7.4.3.107, and Liferay DXP 2023.Q3.1 through 2023.Q3.4, 7.4 GA through upEPSS 0.2%CVE-2024-35557MEDIUMidccms v1.35 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /admin/vpsApi_deal.php?mudi=rev&nohrefStr=closeEPSS 0.2%CVE-2025-53277HIGHWordPress IS-theme-companion plugin <= 1.59 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-14630MEDIUMAdminQuickbar <= 1.9.3 - Cross-Site Request Forgery to Settings UpdateEPSS 0.2%