Weaknesses of type CWE-345

676 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2026-35051HIGHTraefik: ForwardAuth trustForwardHeader=false allows spoofed X-Forwarded-Prefix to bypass authEPSS 0.3%CVE-2026-94612HIGHauthentik: Authentication bypass via assertion confusion in SAML sourcesEPSS 0.3%CVE-2025-27616HIGHVela Server has Insufficient Webhook Payload Data VerificationEPSS 0.3%CVE-2026-73316HIGHXenForo < 2.3.13 Payment Replay via PayPal REST Payment ProviderEPSS 0.3%CVE-2026-121637HIGHWatchGuard AuthPoint Gateway Improper HMAC Validation in LDAP Authentication Callback Allows Forged Authentication ResultsEPSS 0.3%CVE-2026-82465MEDIUMpac4j-saml before 6.5.6 Session Destruction via Unsigned LogoutRequestEPSS 0.3%CVE-2023-35764MEDIUMInsufficient verification of data authenticity issue in Survey Maker prior to 3.6.4 allows a remote unauthenticated attacker to spoof an IP EPSS 0.3%CVE-2026-94455HIGHUnauthenticated /enterprise/create-user mints lifetime top-tier organizations and discloses their API keyEPSS 0.3%CVE-2026-66874MEDIUMGitea required Actions check bypass through skipped workflowsEPSS 0.3%CVE-2026-63094HIGHSigNoz < 0.134.0 SSO OAuth State Manipulation Session Token TheftEPSS 0.3%CVE-2026-52737MEDIUMZEBRA: Sync restart poisoning from single unauthenticated peer via above-lookahead blockEPSS 0.3%CVE-2026-55883HIGHTilt: Cross-site WebSocket hijacking of the Tilt HUD streamEPSS 0.3%CVE-2023-47630HIGHAttacker can cause Kyverno user to unintentionally consume insecure imageEPSS 0.3%CVE-2026-116254MEDIUMrathena FluxCP PayPal IPN PaymentNotifyRequest.php verifyiprange origin validationEPSS 0.3%CVE-2026-3012HIGHSamba: group policy certificate enrollment uses http:// without validationEPSS 0.3%CVE-2025-5833MEDIUMPioneer DMH-WT7600NEX Root Filesystem Insufficient Verification of Data Authenticity VulnerabilityEPSS 0.3%CVE-2026-82549MEDIUMLinux Foundation Magma SecurityModeComplete integrity checkEPSS 0.3%CVE-2024-24557MEDIUMMoby classic builder cache poisoningEPSS 0.3%CVE-2024-35175MEDIUMsshpiper's Enabling of Proxy Protocol without proper feature flagging allows faking source addressEPSS 0.3%CVE-2026-11901MEDIUMWP Hotel Booking <= 2.3.1 - Unauthenticated Insufficient Verification of Data Authenticity to Payment Bypass via PayPal IPN HandlerEPSS 0.3%