Falhas do tipo CWE-352

6.267 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2024-6320HIGHScrollTo Top <= 1.2.2 - Cross-Site Request Forgery to Arbitrary File UploadEPSS 0.4%CVE-2024-6321HIGHScrollTo Bottom <= 1.1.1 - Cross-Site Request Forgery to Arbitrary File UploadEPSS 0.4%CVE-2022-3017MEDIUMCross-Site Request Forgery (CSRF) in froxlor/froxlorEPSS 0.4%CVE-2022-4219MEDIUMChained Quiz <= 1.3.2.4 - Cross-Site Request Forgery to Submitted Response DeletionEPSS 0.4%CVE-2022-4220MEDIUMChained Quiz <= 1.3.2.4 - Cross-Site Request Forgery to Question DeletionEPSS 0.4%CVE-2022-29437MEDIUMWordPress Image Slider by NextCode plugin <= 1.1.2 - Multiple Cross-Site Request Forgery (CSRF) vulnerabilitiesEPSS 0.4%CVE-2022-1594—HC Custom WP-Admin URL <= 1.4 - Arbitrary Settings Update via CSRFEPSS 0.4%CVE-2022-0616—Amelia < 1.0.46 - Arbitrary Customer Deletion via CSRFEPSS 0.4%CVE-2022-1695—WP Simple Adsense Insertion < 2.1 - Inject ads and javascript via CSRFEPSS 0.4%CVE-2022-1712—LiveSync for WordPress <= 1.0 - Arbitrary Settings Update via CSRFEPSS 0.4%CVE-2022-1793—Private Files <= 0.40 - Protection Disabling via CSRFEPSS 0.4%CVE-2022-1709—Throws SPAM Away < 3.3.1 - Comment Deletion via CSRFEPSS 0.4%CVE-2021-24805—DW Question & Answer Pro <= 1.3.4 - Multiple CSRFEPSS 0.4%CVE-2024-4172MEDIUMidcCMS cross-site request forgeryEPSS 0.4%CVE-2020-7029MEDIUMAvaya Product System Management Interface Cross-Site Request Forgery VulnerabilityEPSS 0.4%CVE-2022-38079MEDIUMWordPress Backup Scheduler plugin <= 1.5.13 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.4%CVE-2013-10027MEDIUMBlogger Importer Plugin blogger-importer.php restart cross-site request forgeryEPSS 0.4%CVE-2013-10025MEDIUMExit Strategy Plugin exitpage.php exitpageadmin cross-site request forgeryEPSS 0.4%CVE-2013-10029MEDIUMExit Box Lite Plugin wordpress-exit-box-lite.php exitboxadmin cross-site request forgeryEPSS 0.4%CVE-2012-10015MEDIUMBestWebSoft Twitter Plugin Settings Page twitter.php twttr_settings_page cross-site request forgeryEPSS 0.4%