Falhas do tipo CWE-352

6.267 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2020-36752MEDIUMComing Soon & Maintenance Mode Page <= 1.57 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2021-24431—Language Bar Flags <= 1.0.8 - CSRF to Stored XSSEPSS 0.5%CVE-2021-24806—wpDiscuz < 7.3.4 - Arbitrary Comment Addition/Edition/Deletion via CSRFEPSS 0.5%CVE-2021-28656MEDIUMApache Zeppelin: CSRF vulnerability in the Credentials pageEPSS 0.5%CVE-2021-23026—BIG-IP version 16.0.x before 16.0.1.2, 15.1.x before 15.1.3, 14.1.x before 14.1.4.2, 13.1.x before 13.1.4.1, and all versions of 12.1.x and EPSS 0.5%CVE-2018-15402MEDIUMCisco Enterprise NFV Infrastructure Software Cross-Site Request Forgery VulnerabilityEPSS 0.5%CVE-2022-41475HIGHRPCMS v3.0.2 was discovered to contain a Cross-Site Request Forgery (CSRF) which allows attackers to arbitrarily add an administrator accounEPSS 0.5%CVE-2022-41500HIGHEyouCMS V1.5.9 was discovered to contain multiple Cross-Site Request Forgery (CSRF) vulnerabilities via the Members Center, Editorial MemberEPSS 0.5%CVE-2022-23976HIGHWordPress Access Demo Importer plugin <= 1.0.7 - Cross-Site Request Forgery (CSRF) vulnerability leading to Data Reset (Posts / Pages / Media)EPSS 0.5%CVE-2021-25092—Link Library < 7.2.8 - Library Settings Reset via CSRFEPSS 0.5%CVE-2021-4130MEDIUMCross-Site Request Forgery (CSRF) in snipe/snipe-itEPSS 0.5%CVE-2020-12781MEDIUMCombodo iTop - CSRFEPSS 0.5%CVE-2021-34360MEDIUMCSRF Bypass in Proxy ServerEPSS 0.5%CVE-2020-36717HIGHKali Forms <= 2.1.1 - Cross-Site Request ForgeryEPSS 0.5%CVE-2024-3798HIGHInsecure handling of GET argument in PhonieboxEPSS 0.5%CVE-2022-0707—Easy Digital Downloads < 2.11.6 - Arbitrary Payment Note Insertion via CSRFEPSS 0.5%CVE-2021-4393MEDIUMeCommerce Product Catalog Plugin for WordPress <= 3.0.17 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2020-36738MEDIUMCool Timeline (Horizontal & Vertical Timeline) <= 2.0.2 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2021-32774MEDIUMCross-Site Request Forgery (CSRF) in DataDumpEPSS 0.5%CVE-2021-4418MEDIUMCustom CSS, JS & PHP <= 2.0.7 - Cross-Site Request Forgery BypassEPSS 0.5%