Falhas do tipo CWE-352

6.267 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2020-36754MEDIUMPaid Memberships Pro <= 2.4.2 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2021-4391MEDIUMUltimate Gift Cards for WooCommerce <= 2.1.1 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2020-36738MEDIUMCool Timeline (Horizontal & Vertical Timeline) <= 2.0.2 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2021-4392MEDIUMeCommerce Product Catalog Plugin for WordPress <= 2.9.43 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2021-4418MEDIUMCustom CSS, JS & PHP <= 2.0.7 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2020-36758MEDIUMRSS Aggregator by Feedzy <= 3.4.2 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2021-4393MEDIUMeCommerce Product Catalog Plugin for WordPress <= 3.0.17 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2020-36755MEDIUMCustomizr <= 4.3.0 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2020-36759MEDIUMWoody code snippets <= 2.3.9 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2024-24468HIGHCross Site Request Forgery vulnerability in flusity-CMS v.2.33 allows a remote attacker to execute arbitrary code via the add_customblock.phEPSS 0.5%CVE-2021-3730MEDIUMCross-Site Request Forgery (CSRF) in firefly-iii/firefly-iiiEPSS 0.5%CVE-2021-24133—ActiveCampaign < 8.0.2 - Cross-Site Request Forgery in SettingsEPSS 0.5%CVE-2021-24251—Business Directory Plugin < 5.11.2 - Arbitrary Payment History UpdateEPSS 0.5%CVE-2022-2839—Zephyr Project Manager < 3.2.55 - Unauthorised AJAX Calls To Stored XSSEPSS 0.5%CVE-2024-51144HIGHCross Site Request Forgery (CSRF) vulnerability exists in the 'pvmsg.php?action=add_message', pvmsg.php?action=confirm_delete , and ajax.serEPSS 0.5%CVE-2020-23593MEDIUMA vulnerability in OPTILINK OP-XT71000N Hardware Version: V2.2, Firmware Version: OP_V3.3.1-191028 allows an unauthenticated, remote attackeEPSS 0.5%CVE-2022-4021HIGHPermalink Manager Lite <= 2.2.20.1 - Cross-Site Request ForgeryEPSS 0.5%CVE-2020-36740MEDIUMRadio Buttons for Taxonomies <= 2.0.5 - Cross-Site Request Forgery BypassEPSS 0.5%CVE-2022-0141—Visual Form Builder < 3.0.8 - Entries Deletion/Restoration via CSRFEPSS 0.5%CVE-2024-29192HIGHGHSL-2023-206 gotortc Cross-Site Request Forgery vulnerabilityEPSS 0.5%