Falhas do tipo CWE-352

6.107 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2025-58999MEDIUMWordPress WP Attractive Donations System - Easy Stripe & Paypal donations plugin <= 1.25 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-39374HIGHWordPress Best Posts Summary plugin <= 1.0 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-48146HIGHWordPress SEO Flow by LupsOnline plugin <= 2.2.1 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-62762MEDIUMWordPress SMTP Mail plugin <= 1.3.51 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-52790HIGHWordPress WP-DownloadCounter plugin <= 1.01 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-48357MEDIUMWordPress Century ToolKit plugin <= 1.2.1 - Cross Site Request Forgery (CSRF) to Arbitrary Plugin Activation vulnerabilityEPSS 0.1%CVE-2025-68580MEDIUMWordPress Advanced Classifieds & Directory Pro plugin <= 3.2.9 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-67465MEDIUMWordPress Simple Link Directory plugin <= 8.8.3 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2026-1983MEDIUMSEATT: Simple Event Attendance <= 1.5.0 - Cross-Site Request Forgery to Arbitrary Event DeletionEPSS 0.1%CVE-2025-31440HIGHWordPress Terms of Use plugin <= 2.0 - Cross Site Request Forgery (CSRF) to Stored XSS vulnerabilityEPSS 0.1%CVE-2026-33920MEDIUMCross-site request forgery in the Guardian/CMC login before 26.3.0EPSS 0.1%CVE-2025-31613HIGHWordPress AB Google Map Travel plugin <= 4.6 - CSRF to Stored XSS vulnerabilityEPSS 0.1%CVE-2026-94487HIGHWordPress PublishPress Capabilities plugin <= 2.50.1 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2024-44293MEDIUMA privacy issue was addressed with improved private data redaction for log entries. This issue is fixed in macOS Sequoia 15.1. A user may beEPSS 0.1%CVE-2025-49425HIGHWordPress Konami Easter Egg plugin <= v0.4 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-48114HIGHWordPress ShayanWeb Admin FontChanger plugin <= 1.9.1 - Cross Site Request Forgery (CSRF) to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-62873MEDIUMWordPress WP Flashy Marketing Automation plugin <= 2.0.8 - Cross Site Request Forgery (CSRF) vulnerabilityEPSS 0.1%CVE-2025-53332HIGHWordPress Track Everything plugin <= 2.0.1 - Cross Site Request Forgery (CSRF) VulnerabilityEPSS 0.1%CVE-2025-31444HIGHWordPress ShowTime Slideshow plugin <= 1.6 - Cross Site Request Forgery (CSRF) to Stored XSS vulnerabilityEPSS 0.1%CVE-2025-48144HIGHWordPress Import Export For WooCommerce plugin <= 1.6.2 - CSRF to Stored XSS vulnerabilityEPSS 0.1%