Falhas do tipo CWE-352

6.267 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2021-3729MEDIUMCross-Site Request Forgery (CSRF) in firefly-iii/firefly-iiiEPSS 0.4%CVE-2022-38137MEDIUMWordPress Analytify plugin <= 4.2.2 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.4%CVE-2022-43323HIGHEyouCMS V1.5.9-UTF8-SP1 was discovered to contain a Cross-Site Request Forgery (CSRF) via the Top Up Balance component under the Edit MemberEPSS 0.4%CVE-2026-40948MEDIUMApache Airflow Providers Keycloak: OAuth Login CSRF — Missing State Parameter in Keycloak Auth ManagerEPSS 0.4%CVE-2025-24900HIGHConcorde CSRF vulnerability due to insecure configuration of authentication cookie attributesEPSS 0.4%CVE-2023-20856HIGHVMware vRealize Operations (vROps) contains a CSRF bypass vulnerability. A malicious user could execute actions on the vROps platform on behEPSS 0.4%CVE-2025-1305HIGHNewsBlogger <= 0.2.5.4 - Cross-Site Request Forgery to Arbitrary Plugin InstallationEPSS 0.4%CVE-2023-35030HIGHCross-site request forgery (CSRF) vulnerability in the Layout module's SEO configuration in Liferay Portal 7.4.3.70 through 7.4.3.76, and LiEPSS 0.4%CVE-2024-7226MEDIUMSourceCodester Medicine Tracker System Password Change cross-site request forgeryEPSS 0.4%CVE-2025-12821HIGHNewsBlogger <= 0.2.5.6 - 0.2.5.9 - Cross-Site Request Forgery to Arbitrary Plugin InstallationEPSS 0.4%CVE-2020-18131HIGHCross Site Request Forgery (CSRF) vulnerability in Bluethrust Clan Scripts v4 allows attackers to escilate privledges to an arbitrary accounEPSS 0.4%CVE-2017-20020MEDIUMSolare Solar-Log cross-site request forgeryEPSS 0.4%CVE-2022-44849HIGHA Cross-Site Request Forgery (CSRF) in the Administrator List of MetInfo v7.7 allows attackers to arbitrarily add Super Administrator accounEPSS 0.4%CVE-2022-41136MEDIUMWordPress Shortcodes Ultimate plugin <= 5.12.0 - CSRF vulnerability leading to Stored XSSEPSS 0.4%CVE-2025-9890HIGHTheme Editor <= 3.0 - Cross-Site Request Forgery to Remote Code ExecutionEPSS 0.4%CVE-2022-44741MEDIUMWordPress Testimonial Slider plugin <= 1.3.1 - Cross-Site Request Forgery (CSRF) vulnerabilityEPSS 0.4%CVE-2024-24820HIGHIcinga Director configuration is susceptible to Cross-Site Request ForgeryEPSS 0.4%CVE-2024-34001HIGHmoodle: CSRF risk in admin preset tool management of presetsEPSS 0.4%CVE-2024-3089MEDIUMPHPGurukul Emergency Ambulance Hiring Portal Manage Ambulance Page manage-ambulance.php cross-site request forgeryEPSS 0.4%CVE-2024-11125MEDIUMGetSimpleCMS profile.php cross-site request forgeryEPSS 0.4%