Falhas do tipo CWE-352

6.104 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2018-25200MEDIUMOOP CMS BLOG 1.0 Cross-Site Request Forgery via addUser.phpEPSS 0.2%CVE-2025-49238MEDIUMWordPress Everest Backup plugin <= 2.3.3 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-53261MEDIUMWordPress WP YouTube Live plugin <= 1.10.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-27360MEDIUMWordPress Quick Event Calendar plugin <= 1.4.9 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2024-53779HIGHWordPress Yahoo! WebPlayer plugin <= 2.0.6 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-51687HIGHWordPress Platform.ly Official plugin <= 1.1.3 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2026-4393MEDIUMAutomated Logout - Moderately critical - Cross-site request forgery - SA-CONTRIB-2026-030EPSS 0.2%CVE-2025-22669MEDIUMWordPress Awesome Event Booking plugin <= 2.7.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-53264MEDIUMWordPress ONet Regenerate Thumbnails plugin <= 1.5 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2026-14313MEDIUMPeproDev WooCommerce Receipt Uploader <= 2.8.0 - Unauthenticated Order Receipt Tampering via IDOREPSS 0.2%CVE-2025-30629MEDIUMWordPress Bitly URL Shortener plugin <= 1.4.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-53254MEDIUMWordPress Cyrlitera plugin <= 1.3.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-49269MEDIUMWordPress Market Exporter plugin <= 2.0.22 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2025-49317MEDIUMWordPress WP Page Loading plugin <= 1.0.6 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2024-53770HIGHWordPress RingCentral Communications plugin <= 1.7.0 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2024-53789HIGHWordPress Advanced What should we write next about plugin <=1.0.3 - CSRF to Stored Cross Site Scripting (XSS) vulnerabilityEPSS 0.2%CVE-2026-49433LOWDeepAI api.deepai.org/change_user_email CSRFEPSS 0.2%CVE-2024-53765HIGHWordPress Mins To Read plugin <= 1.2.2 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2025-49283MEDIUMWordPress Anti-spam, Spam protection, ReCaptcha for all forms and GDPR-compliant plugin <= 4.1.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2024-53781HIGHWordPress SpatialMatch IDX plugin <= 3.0.9 - CSRF to Stored XSS vulnerabilityEPSS 0.2%