CWE-352
MITRE Подделка межсайтовых запросов
Cross-Site Request Forgery (CSRF)
CWE-352 — подделка межсайтовых запросов: веб-приложение не убеждается, что запрос отправлен пользователем намеренно. Уязвимость встречается в веб-приложениях, где состояние меняется запросом POST без проверки источника: подсовываемая жертве форма отправляется вместе с её cookie. Злоумышленник от имени жертвы меняет пароль, переводит средства и выполняет административные действия.
Как защититься от CWE-352
Чтобы защититься от CWE-352, используйте проверенный пакет для защиты от CSRF, например OWASP CSRFGuard или компонент ESAPI Session Management, и генерируйте для каждой формы уникальный непредсказуемый nonce, проверяя его при получении формы. Устраните XSS: подставленный скрипт обходит большинство таких мер. Не меняйте состояние методом GET и запрашивайте отдельное подтверждение опасных операций.
Уязвимости с типом CWE-352 (50)
С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, цел С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность, цел В
7.5Уязвимость агента для разработки программного обеспечения на основе искусственного интеллекта OpenCode, связанная с неко2026-09-24 В
7.1Уязвимость корпоративной платформы для создания, управления и обработки электронных форм, документов и бизнес-процессов 2026-09-22 В
9.4Уязвимость программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, связанная с подделкой межсай2026-08-17 В
7.3Уязвимость сервиса визуализации данных Kibana, связанная с подделкой межсайтовых запросов, позволяющая нарушителю осущес2026-08-13 В
8.3Уязвимость компонента Deployment Server веб-интерфейса Splunk Web платформы для операционного анализа Splunk Enterprise,2026-07-15 В
7.1Уязвимость функций GetCasdoorUri() и CasdoorCallback() пользовательского интерфейса Nginx UI сервера nginx, позволяющая 2026-07-03 В
9.3Уязвимость плагина cas-auth облачного API-шлюза Apache APISIX, позволяющая нарушителю осуществить CSRF-атаку2026-06-19 В
6.5Уязвимость компонента Shell: Dump and Load клиента командной строки и редактора кода Oracle MySQL Shell, позволяющая нар2026-06-16 В
8.0Уязвимость компонента Content Server платформы взаимодействия пользователей Oracle WebCenter Content, позволяющая наруши2026-06-16 К
9.6Уязвимость компонента Content Server платформы взаимодействия пользователей Oracle WebCenter Content, позволяющая наруши2026-06-16 С
4.3Уязвимость веб-приложения для управления активами центров обработки данных RackTables, связанная с подделкой межсайтовых2026-06-13 К
8.8Уязвимость программного обеспечения для управления пользователями беспроводных сетей NETAMS WNAM, связанная с подделкой 2026-06-03 Н
3.1Уязвимость программного обеспечения Blitz Identity Provider, связанная с подделкой межсайтовых запросов, позволяющая нар2026-05-28 В
6.5Уязвимость компонента SVG веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к конфиде2026-05-27 С
6.1Уязвимость приложения для обмена мгновенными сообщениями Mattermost, связанная с подделкой межсайтовых запросов, позволя2026-05-21 Н
3.1Уязвимость компонента DevTools веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к ко2026-05-16 В
6.5Уязвимость набора инструментов для веб-разработки DevTools браузеров Google Chrome и Microsoft Edge, позволяющая нарушит2026-05-16 С
4.3Уязвимость компонента PerformanceAPIs веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить дост2026-05-15 Н
3.1Уязвимость компонента DataTransfer браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю раскрыть защищаемую 2026-05-14 В
6.5Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с подделкой межсайтовых з2026-05-14 К
8.8Уязвимость компонента DevTools веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю вызвать отказ в обсл2026-05-10 С
4.6Уязвимость веб-интерфейса на базе искуственного интеллекта Open WebUI, связанная с подделкой межсайтовых запросов, позво2026-05-09 В
6.5Уязвимость браузера Google Chrome операционных систем iOS, связанная с недостатком в механизме подтверждения источника, 2026-04-30 С
6.5Уязвимость компонента postMessage веб-браузера Firefox и почтового клиента Thunderbird, позволяющая нарушителю вызвать о2026-04-21 С
5.3Уязвимость компонента Networking: DNS браузеров Mozilla Firefox и почтового клиента Thunderbird, позволяющая нарушителю 2026-04-21 С
5.4Уязвимость компонента OAuth-аутентификации для веб-приложений на базе Starlette библиотеки Authlib для серверов OAuth и 2026-04-16 В
6.8Уязвимость приложения для обмена мгновенными сообщениями Mattermost, связанная с подделкой межсайтовых запросов, позволя2026-04-15 С
4.3Уязвимость компонента DeviceBoundSessionCredentials веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю2026-04-12 С
4.3Уязвимость компонента CSS веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к конфиде2026-04-12 С
4.3Уязвимость компонента CSS веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к конфиде2026-04-12 В
6.5Уязвимость компонента Media веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к конфи2026-04-11 В
6.5Уязвимость компонента Paint веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к конфи2026-04-11 В
6.5Уязвимость компонента Extensions веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к 2026-04-10 С
4.3Уязвимость функции Navigation браузера Google Chrome, позволяющая нарушителю получить несанкционированный доступ к защищ2026-04-08 В
6.5Уязвимость компонента Media веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к конфи2026-04-08 В
7.5Уязвимость компонента Autofill веб-браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить доступ к ко2026-04-07 Н
3.1Уязвимость компонента MHTML браузера Google Chrome и Microsoft Edge, позволяющая нарушителю получить несанкционированный2026-04-03 В
6.5Уязвимость компонента Extensions (Расширения) браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю раскрыть 2026-03-29 К
8.8Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с подделкой межсайтовых з2026-03-25 С
5.3Уязвимость программной платформы создания веб-приложений Next.js, связанная с подделкой межсайтовых запросов, позволяюща2026-03-17 С
5.1Уязвимость микропрограммного обеспечения коммутаторов EDIMAX GS-5008PL, связанная с подделкой межсайтовых запросов, позв2026-03-17 В
6.3Уязвимость реализации протокола авторизации OAuth ИИ-агента OpenClaw (ранее - ClawdBot или MoltBot), позволяющая нарушит2026-02-16 С
3.5Уязвимость HR-платформы для бизнеса HRBOX, связанная с подделкой межсайтовых запросов, позволяющая нарушителю оказать во2026-02-15 В
6.5Уязвимость компонента Animation браузера Google Chrome, позволяющая нарушителю оказать воздействие на конфиденциальность2026-02-10 С
6.3Уязвимость SCADA-системы FAST/TOOLS, связанная с подделкой межсайтовых запросов, позволяющая нарушителю осуществить CSRF2026-02-09 С
5.4Уязвимость корпоративной системы управления электронной почтой Zimbra Collaboration Suite (ZCS), связанная с подделкой м2026-02-04 С
5.1Уязвимость веб-интерфейса управления микропрограммного обеспечения маршрутизатора Tenda AC7, позволяющая нарушителю осущ2026-02-03 С
5.1Уязвимость микропрограммного обеспечения беспроводных Wi-Fi маршрутизаторов Tenda W30E, связанная с подделкой межсайтовы2026-01-26Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-352 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
