Falhas do tipo CWE-352

6.267 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2020-13674—The QuickEdit module does not properly validate access to routes, which could allow cross-site request forgery under some circumstances and EPSS 0.5%CVE-2022-20787MEDIUMCisco Unified Communications Products Cross-Site Request Forgery VulnerabilityEPSS 0.5%CVE-2008-3938HIGHCross-site request forgery (CSRF) vulnerability in user_admin.php in Open Media Collectors Database (OpenDb) 1.0.6 allows remote attackers tEPSS 0.5%CVE-2021-25976HIGHPiranha CMS - Site-wide Cross-Site Request Forgery (CSRF)EPSS 0.5%CVE-2020-36534MEDIUMeasyii CMS out cross-site request forgeryEPSS 0.5%CVE-2023-6766MEDIUMPHPGurukul Teacher Subject Allocation Management System Delete Course course.php cross-site request forgeryEPSS 0.5%CVE-2023-25767HIGHA cross-site request forgery (CSRF) vulnerability in Jenkins Azure Credentials Plugin 253.v887e0f9e898b and earlier allows attackers to connEPSS 0.5%CVE-2020-36707HIGHComing Soon & Maintenance Mode Page <= 1.57 - Cross-Site Request ForgeryEPSS 0.5%CVE-2022-41685MEDIUMMultiple Cross-Site Request Forgery (CSRF) vulnerabilities in Integration for Szamlazz.hu & WooCommerce and Csomagpontok és szállítási címkék WooCommerce hez pluginsEPSS 0.5%CVE-2021-39133HIGHCross-Site Request Forgery (CSRF) can run untrusted code on Rundeck serverEPSS 0.5%CVE-2022-23044HIGHTiny File Manager version 2.4.8 allows an unauthenticated remote attacker to persuade users to perform unintended actions within the applicaEPSS 0.5%CVE-2019-19289—A vulnerability has been identified in XHQ (All Versions < 6.1). The web interface could allow a Cross-Site Request Forgery (CSRF) attack ifEPSS 0.5%CVE-2024-1315HIGHClassified Listing <= 3.0.4 - Cross-Site Request Forgery to Account Takeover via rtcl_update_user_accountEPSS 0.5%CVE-2023-35148—A cross-site request forgery (CSRF) vulnerability in Jenkins Digital.ai App Management Publisher Plugin 2.6 and earlier allows attackers to EPSS 0.5%CVE-2021-25108—IP2Location Country Blocker < 2.26.6 - Arbitrary Country Ban via CSRFEPSS 0.5%CVE-2022-45130MEDIUMPlesk Obsidian allows a CSRF attack, e.g., via the /api/v2/cli/commands REST API to change an Admin password. NOTE: Obsidian is a specific vEPSS 0.5%CVE-2023-31061HIGHRepetier Server through 1.4.10 does not have CSRF protection.EPSS 0.5%CVE-2024-7661MEDIUMSourceCodester Car Driving School Management System index.php save_users cross-site request forgeryEPSS 0.5%CVE-2023-32995HIGHA cross-site request forgery (CSRF) vulnerability in Jenkins SAML Single Sign On(SSO) Plugin 2.0.0 and earlier allows attackers to send an HEPSS 0.4%CVE-2023-32989HIGHA cross-site request forgery (CSRF) vulnerability in Jenkins Azure VM Agents Plugin 852.v8d35f0960a_43 and earlier allows attackers to conneEPSS 0.4%