İçeriğe atla
Noroxi

CWE-352 · 9.678 kayıt

Siteler arası istek sahteciliği

Neden olur?

Durum değiştiren istekler tarayıcının otomatik gönderdiği oturum çerezine dayanıyor; isteğin kullanıcının kendi sayfasından geldiği doğrulanmıyor.

Nasıl önlenir?

  1. 01Durum değiştiren her isteğe istek sahteciliği belirteci ekleyin.
  2. 02Oturum çerezlerinde SameSite özniteliğini kullanın.
  3. 03Kritik işlemlerde yeniden kimlik doğrulama isteyin.

Hatalı ve düzeltilmiş kod

Temsili ders örneği. Vurgulu satırlar hatanın ve düzeltmenin yeridir.

Hatalı

ts
app.use(session({ cookie: { httpOnly: true } }));app.post("/account/address", updateAddress);

Düzeltilmiş

ts
app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));app.post("/account/address", csrfProtection, updateAddress);

Kodunuzda bu kalıp var mı?

Web ve API sızma testi kapsamında bu sınıfı özellikle arıyoruz. Bulgular satır numarasıyla teslim edilir.

Web ve API sızma testiTeklif isteyin

Bu sınıftaki CVE’ler

9.682 kayıt

  • CVE-2016-6277
    95Hemen

    NETGEAR R6250 before 1.0.4.6.Beta, R6400 before 1.0.1.18.Beta, R6700 before 1.0.1.14.Beta, R6900, R7000 before 1.0.7.6.Beta, R7100LG before

    YüksekCVSS 8,8KEVSilahlaştırılmışEPSS %99

    netgear · d6220 firmware14 Ara 2016

  • CVE-2014-100005
    75Bu hafta

    Multiple cross-site request forgery (CSRF) vulnerabilities in D-Link DIR-600 router (rev.

    YüksekCVSS 8,0KEVSilahlaştırılmışEPSS %43

    dlink · dir-600 firmware13 Oca 2015

  • CVE-2023-2533
    74Bu hafta

    PaperCut MF/NG 22.0.10 (Build 65996 2023-03-27) - Remote code execution via CSRF

    YüksekCVSS 8,8KEVSilahlaştırılmışEPSS %28

    papercut · papercut mf20 Haz 2023

  • CVE-2020-10181
    73Bu hafta

    goform/formEMR30 in Sumavision Enhanced Multimedia Router (EMR) 3.0.4.27 allows creation of arbitrary users with elevated privileges (admini

    KritikCVSS 9,8KEVSilahlaştırılmışEPSS %14

    sumavision · enhanced multimedia router firmware11 Mar 2020

  • CVE-2008-4128
    72Bu hafta

    Multiple cross-site request forgery (CSRF) vulnerabilities in the HTTP Administration component in Cisco IOS 12.4 on the 871 Integrated Serv

    YüksekCVSS 8,1KEVSilahlaştırılmışEPSS %33

    cisco · ios18 Eyl 2008

  • CVE-2022-41622
    63Bu hafta

    iControl SOAP vulnerability

    YüksekCVSS 8,8SilahlaştırılmışEPSS %92

    f5 · big-iq centralized management7 Ara 2022

  • CVE-2017-1000479
    60Bu hafta

    pfSense versions 2.4.1 and lower are vulnerable to clickjacking attacks in the CSRF error page resulting in privileged execution of arbitrar

    YüksekCVSS 8,8SilahlaştırılmışEPSS %31

    netgate · pfsense3 Oca 2018

  • CVE-2016-6897
    60Bu hafta

    Cross-site request forgery (CSRF) vulnerability in the wp_ajax_update_plugin function in wp-admin/includes/ajax-actions.php in WordPress bef

    OrtaCVSS 6,5SilahlaştırılmışEPSS %28

    wordpress · wordpress18 Oca 2017

  • CVE-2013-3568
    60Bu hafta

    Cross-site request forgery (CSRF) vulnerability in Cisco Linksys WRT110 allows remote attackers to hijack the authentication of users for re

    YüksekCVSS 8,8SilahlaştırılmışEPSS %25

    cisco · linksys wrt110 firmware6 Şub 2020

  • CVE-2019-19833
    60Bu hafta

    In Tautulli 2.1.9, CSRF in the /shutdown URI allows an attacker to shut down the remote media server.

    OrtaCVSS 6,5SilahlaştırılmışEPSS %14

    tautulli · tautulli18 Ara 2019

  • CVE-2024-34069
    60Bu hafta

    Werkzeug's improper usage of a pathname and improper CSRF protection results in the remote command execution

    YüksekCVSS 7,5SilahlaştırılmışEPSS %3

    palletsprojects · werkzeug6 May 2024

  • CVE-2018-7700
    57Planlayın

    DedeCMS 5.7 has CSRF with an impact of arbitrary code execution, because the partcode parameter in a tag_test_action.php request can specify

    YüksekCVSS 8,8Kavram kanıtıEPSS %74

    dedecms · dedecms27 Mar 2018

  • CVE-2014-0054
    54Planlayın

    The Jaxb2RootElementHttpMessageConverter in Spring MVC in Spring Framework before 3.2.8 and 4.0.0 before 4.0.2 does not disable external ent

    OrtaCVSS 6,8İstismar yokEPSS %91

    springsource · spring framework17 Nis 2014

  • CVE-2013-6429
    54Planlayın

    The SourceHttpMessageConverter in Spring MVC in Spring Framework before 3.2.5 and 4.0.0.M1 through 4.0.0.RC1 does not disable external entit

    OrtaCVSS 6,8İstismar yokEPSS %90

    pivotal software · spring framework26 Oca 2014

  • CVE-2019-16667
    51Planlayın

    diag_command.php in pfSense 2.4.4-p3 allows CSRF via the txtCommand or txtRecallBuffer field, as demonstrated by executing OS commands.

    YüksekCVSS 8,8Kavram kanıtıEPSS %54

    netgate · pfsense26 Eyl 2019

  • CVE-2015-2295
    47Planlayın

    Cross-site request forgery (CSRF) vulnerability in system_firmware_restorefullbackup.php in the WebGUI in pfSense before 2.2.1 allows remote

    OrtaCVSS 6,8Kavram kanıtıEPSS %65

    netgate · pfsense10 Nis 2015

  • CVE-2019-9787
    47Planlayın

    WordPress before 5.1.1 does not properly filter comment content, leading to Remote Code Execution by unauthenticated users in a default conf

    YüksekCVSS 8,8Kavram kanıtıEPSS %38

    wordpress · wordpress14 Mar 2019

  • CVE-2022-1020
    47Planlayın

    Woo Product Table < 3.1.2 - Unauthenticated Arbitrary Function Call

    KritikCVSS 9,8Kavram kanıtıEPSS %25

    codeastrology · woo product table18 Nis 2022

  • CVE-2015-6973
    46Planlayın

    Multiple cross-site request forgery (CSRF) vulnerabilities in Ignite Realtime Openfire 3.10.2 allow remote attackers to hijack the authentic

    OrtaCVSS 6,8Kavram kanıtıEPSS %64

    igniterealtime · openfire16 Eyl 2015

  • CVE-2022-27226
    45Planlayın

    A CSRF issue in /api/crontab on iRZ Mobile Routers through 2022-03-16 allows a threat actor to create a crontab entry in the router administ

    YüksekCVSS 8,8Kavram kanıtıEPSS %33

    irz · ru21 firmware19 Mar 2022

  • CVE-2019-0235
    45Planlayın

    Apache OFBiz 17.12.01 is vulnerable to some CSRF attacks.

    YüksekCVSS 8,8Kavram kanıtıEPSS %32

    apache · ofbiz30 Nis 2020

  • CVE-2022-28731
    44Planlayın

    Apache JSPWiki CSRF in UserPreferences.jsp

    OrtaCVSS 6,5İstismar yokEPSS %58

    apache · jspwiki4 Ağu 2022

  • CVE-2022-1574
    43Planlayın

    HTML2WP <= 1.0.0 - Unauthenticated Arbitrary File Upload

    KritikCVSS 9,8Kavram kanıtıEPSS %12

    html2wp project · html2wp27 Haz 2022

  • CVE-2023-48292
    42Planlayın

    XWiki Admin Tools Application Run Shell Command allows CSRF RCE attacks

    YüksekCVSS 8,8Kavram kanıtıEPSS %22

    xwiki · admin tools20 Kas 2023

  • CVE-2022-28108
    42Planlayın

    Selenium Server (Grid) before 4 allows CSRF because it permits non-JSON content types such as application/x-www-form-urlencoded, multipart/f

    YüksekCVSS 8,8Kavram kanıtıEPSS %22

    selenium · selenium grid18 Nis 2022

Tüm zafiyet sınıfları