Falhas do tipo CWE-352

6.105 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2026-24521MEDIUMWordPress Kama Thumbnail plugin <= 3.5.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-46872MEDIUMClient-Side Path Traversal Leading to CSRF in PlaybooksEPSS 0.2%CVE-2025-4337MEDIUMAHAthat Plugin <= 1.6 - Cross-Site Request Forgery to AHA Page DeletionEPSS 0.2%CVE-2025-31888MEDIUMWordPress WP Multi Store Locator Plugin <= 2.5.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-24542MEDIUMWordPress WP Term Order plugin <= 2.1.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-24596MEDIUMWordPress Related Posts Thumbnails plugin for WordPress plugin <= 4.3.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-46510HIGHWordPress Contact Form 7 Calendar plugin <= 3.0.1 - CSRF to Stored XSS vulnerabilityEPSS 0.2%CVE-2026-22215MEDIUMwpDiscuz before 7.6.47 - Missing CSRF Protection on wpdGetFollowsPageEPSS 0.2%CVE-2026-24549MEDIUMWordPress GeoDirectory plugin <= 2.8.149 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-0658MEDIUMFive Star Restaurant Reservations < 2.7.9 - Arbitrary Bookings Deletion via CSRFEPSS 0.2%CVE-2026-18848HIGHPower System Cross-Site Request Forgery (CSRF)EPSS 0.2%CVE-2025-32265MEDIUMWordPress JobWP plugin <= 2.3.9 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2024-13338MEDIUMWebcraftic Clearfy – WordPress optimization plugin <= 2.3.1 - Cross-Site Request Forgery to Clear CacheEPSS 0.2%CVE-2025-32262MEDIUMWordPress RDP Wiki Embed plugin <= 1.2.20 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.2%CVE-2026-22359MEDIUMWordPress Wordpress Movies Bulk Importer plugin <= 1.0 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-32276MEDIUMWordPress Administrator Z plugin <= 2026.03.02 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-60535HIGHA Cross-Site Request Forgery (CSRF) in the component /endpoints/currency/currency of Wallos v4.1.1 allows attackers to execute arbitrary opeEPSS 0.2%CVE-2025-32264MEDIUMWordPress UltraAddons – Elementor Addons plugin <= 2.0.2 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2025-32274MEDIUMWordPress w3all phpBB integration Plugin <= 2.9.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.2%CVE-2026-63373MEDIUMdraw.io: OAuth CSRF via missing state validation on self-hosted deployments allows session token injectionEPSS 0.2%