Falhas do tipo CWE-352

6.267 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2020-10771—A flaw was found in Infinispan version 10, where it is possible to perform various actions that could have side effects using GET requests. EPSS 0.4%CVE-2024-1522HIGHCross-Site Request Forgery (CSRF) Leading to Remote Code Execution in parisneo/lollms-webuiEPSS 0.4%CVE-2022-2555—Yotpo Reviews for WooCommerce <= 2.0.4 - Arbitrary Settings Update via CSRFEPSS 0.4%CVE-2022-4138MEDIUMA Cross Site Request Forgery issue has been discovered in GitLab CE/EE affecting all versions before 15.6.7, all versions starting from 15.7EPSS 0.4%CVE-2025-59949MEDIUMFreshRSS has Logout CSRF that Leads to DoS via <track src>EPSS 0.4%CVE-2023-25989MEDIUMCross-Site Request Forgery (CSRF) vulnerability in multiple WordPress plugins by MeksEPSS 0.4%CVE-2026-60009HIGHIn Eclipse Theia versions up to and including 1.73.1, the `@theia/filesystem` backend binds `POST /file-upload` in every filesystem-enabled EPSS 0.4%CVE-2021-4005MEDIUMCross-Site Request Forgery (CSRF) in firefly-iii/firefly-iiiEPSS 0.4%CVE-2021-36876MEDIUMWordPress uListing plugin <= 2.0.5 - Multiple Cross-Site Request Forgery (CSRF) vulnerabilitiesEPSS 0.4%CVE-2022-3119HIGHOAuth client Single Sign On for WordPress < 3.0.4 - Unauthenticated Settings Update to Authentication BypassEPSS 0.4%CVE-2015-10109MEDIUMVideo Playlist and Gallery Plugin wp-media-cincopa.php cross-site request forgeryEPSS 0.4%CVE-2015-10108MEDIUMmeitar Inline Google Spreadsheet Viewer Plugin inline-gdocs-viewer.php displayShortcode cross-site request forgeryEPSS 0.4%CVE-2021-3921MEDIUMCross-Site Request Forgery (CSRF) in firefly-iii/firefly-iiiEPSS 0.4%CVE-2015-10125MEDIUMWP Ultimate CSV Importer Plugin cross-site request forgeryEPSS 0.4%CVE-2025-47204MEDIUMAn issue was discovered in post.php in bootstrap-multiselect (aka Bootstrap Multiselect) 1.1.2. A PHP script in the source code echoes arbitEPSS 0.4%CVE-2021-3931MEDIUMCross-Site Request Forgery (CSRF) in snipe/snipe-itEPSS 0.4%CVE-2021-4015MEDIUMCross-Site Request Forgery (CSRF) in firefly-iii/firefly-iiiEPSS 0.4%CVE-2021-4082MEDIUMCross-Site Request Forgery (CSRF) in pimcore/pimcoreEPSS 0.4%CVE-2017-6038—A Cross-Site Request Forgery issue was discovered in Belden Hirschmann GECKO Lite Managed switch, Version 2.0.00 and prior versions. The webEPSS 0.4%CVE-2021-36877MEDIUMWordPress uListing plugin <= 2.0.5 - Modify User Roles via Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.4%