Falhas do tipo CWE-352

6.107 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2025-53219MEDIUMWordPress WP-Database-Optimizer-Tools Plugin <= 0.2 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58801MEDIUMWordPress Responder Plugin <= 4.3.8 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-48362MEDIUMWordPress Hesabfa Accounting plugin <= 2.2.5 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-52711MEDIUMWordPress Post and Page Builder by BoldGrid – Visual Drag and Drop Editor plugin <= 1.27.8 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-11886MEDIUMCTL Arcade Lite <= 1.0 - Cross-Site Request Forgery to Plugin Activation and DeactivationEPSS 0.1%CVE-2025-50847MEDIUMCross Site Request Forgery (CSRF) vulnerability in CS Cart 4.18.3, allows attackers to add products to a user's comparison list via a crafteEPSS 0.1%CVE-2024-54172MEDIUMIBM Sterling B2B Integrator and IBM Sterling File Gateway cross-site request forgeryEPSS 0.1%CVE-2025-62975MEDIUMWordPress Raychat plugin <= 2.2.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-54038MEDIUMWordPress Restaurant Menu by MotoPress plugin <= 2.4.6 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-58224MEDIUMWordPress Printeers Print & Ship Plugin <= 1.17.0 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-14465MEDIUMSticky Action Buttons <= 1.1 - Cross-Site Request Forgery to Plugin Settings UpdateEPSS 0.1%CVE-2025-14462MEDIUMLucky Draw Contests <= 4.2 - Cross-Site Request Forgery to Plugin Settings UpdateEPSS 0.1%CVE-2025-58430HIGHlistmonk Vulnerable to CSRF to XSS Chain That Can Lead to Admin Account TakeoverEPSS 0.1%CVE-2025-49069MEDIUMWordPress Contact Forms by Cimatti plugin <= 1.9.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-54020MEDIUMWordPress AntiSpam for Contact Form 7 plugin <= 0.6.3 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-49865MEDIUMWordPress Advanced Settings plugin <= 3.0.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-11976MEDIUMFuseWP – WordPress User Sync to Email List & Marketing Automation (Mailchimp, Constant Contact, ActiveCampaign etc.) <= 1.1.23.0 - Cross-Site Request Forgery to Sync Rule CreationEPSS 0.1%CVE-2025-58818MEDIUMWordPress Developer Tools Blocker Plugin <= 3.2.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2026-76961LOWCross-Site Request Forgery (CSRF) vulnerability in SAP S/4HANA (Finance for Advanced Payment Management)EPSS 0.1%CVE-2025-53569MEDIUMWordPress Trust Payments Gateway for WooCommerce (JavaScript Library) plugin <= 1.3.6 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%