Falhas do tipo CWE-352

6.267 resultados

Falsificação de Solicitação entre Sites (CSRF)

A aplicação web não valida adequadamente se uma requisição legítima foi realmente originada da intenção do usuário autenticado, ou se foi forjada por um atacante. Um site malicioso consegue fazer seu navegador enviar requisições em seu nome para a aplicação vulnerável, executando ações sem seu consentimento explícito.

Exemplo

Um usuário logado em seu banco recebe um email com um link ou imagem oculta que, ao ser acessado, força seu navegador a enviar uma requisição para transferir dinheiro — a aplicação processa a transferência porque reconhece o cookie de sessão válido, mas nunca verificou se o usuário realmente quis fazer isso.

Como mitigar

Implemente tokens CSRF únicos por sessão (gerados no servidor, incluídos em formulários e validados antes de processar) e use atributos SameSite em cookies de sessão. Para APIs, valide headers customizados como X-Requested-With e implemente CORS restritivo.

CVE-2021-4411MEDIUMWP EasyPay – Square for WordPress <= 3.2.0 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2021-4384MEDIUMWordPress Photo Gallery – Image Gallery <= 1.0.6 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2021-4092MEDIUMCross-Site Request Forgery (CSRF) in yetiforcecompany/yetiforcecrmEPSS 0.4%CVE-2021-24615—Wechat Reward <= 1.7 - CSRF to Stored Cross-Site ScriptingEPSS 0.4%CVE-2022-29414MEDIUMWordPress Subscribe To Comments Reloaded plugin <= 211130 - Multiple Cross-Site Request Forgery (CSRF) vulnerabilitiesEPSS 0.4%CVE-2025-31205MEDIUMThe issue was addressed with improved checks. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, macOS Sequoia 15.5, tvOS 18.5, vEPSS 0.4%CVE-2021-21395MEDIUMMagneto-lts vulnerable to Cross-Site Request ForgeryEPSS 0.4%CVE-2023-2416MEDIUMOnline Booking & Scheduling Calendar for WordPress by vcita <= 4.5 - Cross-Site Request Forgery to Account LogoutEPSS 0.4%CVE-2023-33409MEDIUMMinical 1.0.0 is vulnerable to Cross Site Request Forgery (CSRF) via minical/public/application/controllers/settings/company.php.EPSS 0.4%CVE-2020-36757MEDIUMWP Hotel Booking <= 1.10.1 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2021-4424MEDIUMSlider Hero <= 8.2.0 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2023-36237HIGHCross Site Request Forgery vulnerability in Bagisto before v.1.5.1 allows an attacker to execute arbitrary code via a crafted HTML script.EPSS 0.4%CVE-2021-4421MEDIUMAdvanced Popups <= 1.1.1 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2021-44777MEDIUMWordPress Email Tracker plugin <= 5.2.6 - Cross-Site Request Forgery (CSRF) vulnerabilities leading to single or bulk e-mail entries deletionEPSS 0.4%CVE-2020-36756MEDIUM10WebAnalytics <= 1.2.8 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2021-4419MEDIUMWP-Backgrounds Lite <= 2.3 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2021-4423MEDIUMRAYS Grid <= 1.2.2 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2024-45538CRITICALCross-Site Request Forgery (CSRF) vulnerability in WebAPI Framework in Synology DiskStation Manager (DSM) before 7.2.1-69057-2 and 7.2.2-728EPSS 0.4%CVE-2021-4420MEDIUMSell Media <= 2.5.5 - Cross-Site Request Forgery BypassEPSS 0.4%CVE-2025-8814MEDIUMatjiu pybbs CookieUtil.java setCookie cross-site request forgeryEPSS 0.4%