Weaknesses of type CWE-345

683 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2022-22757MEDIUMRemote Agent, used in WebDriver, did not validate the Host or Origin headers. This could have allowed websites to connect back locally to thEPSS 0.2%CVE-2025-5832MEDIUMPioneer DMH-WT7600NEX Software Update Signing Insufficient Verification of Data Authenticity VulnerabilityEPSS 0.2%CVE-2024-12369MEDIUMElytron-oidc-client: oidc authorization code injectionEPSS 0.2%CVE-2026-105741HIGHLangflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration WriteEPSS 0.2%CVE-2025-14444MEDIUMRegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login <= 6.0.6.9 - Unauthenticated Payment Bypass via rm_process_paypal_sdk_paymentEPSS 0.2%CVE-2022-31598—Due to insufficient input validation, SAP Business Objects - version 420, allows an authenticated attacker to submit a malicious request thrEPSS 0.2%CVE-2025-59160LOWmatrix-js-sdk has insufficient validation when considering a room to be upgraded by anotherEPSS 0.2%CVE-2026-15612CRITICALLOIDC nonce validation bypassEPSS 0.2%CVE-2023-27977MEDIUMA CWE-345: Insufficient Verification of Data Authenticity vulnerability exists in the Data Server that could cause access to delete files inEPSS 0.2%CVE-2026-49212MEDIUMSymfony UX: LiveComponentHydrator HMAC checksum lacks component and slot bindingEPSS 0.2%CVE-2023-27979MEDIUMA CWE-345: Insufficient Verification of Data Authenticity vulnerability exists in the Data Server that could allow the renaming of files in EPSS 0.2%CVE-2026-72817MEDIUMgo-chi chi 0.9.0 before 5.3.0 IP Spoofing via X-Forwarded-ForEPSS 0.2%CVE-2026-121606CRITICALQihoo 360 D621-2/D603-2/D600-2/D619/D606-6/D706 Firmware Signature Verification iscm verify_sign signature verificationEPSS 0.2%CVE-2024-58267HIGHRancher CLI SAML authentication is vulnerable to phishing attacksEPSS 0.2%CVE-2024-28251MEDIUMCross-site websocket hijacking in QuerybookEPSS 0.2%CVE-2026-54763HIGHTraefik: headerField underscore-variant identity spoofing in BasicAuth / DigestAuth / ForwardAuthEPSS 0.2%CVE-2026-76245HIGHstigmem Federation Peer Token Timestamp Validation BypassEPSS 0.2%CVE-2026-119422HIGHHyperswitch before 1.128.0 Webhook Authentication Bypass via Worldpayxml ConnectorEPSS 0.2%CVE-2026-53536MEDIUMActivepieces: Cross-tenant file download via missing JWT audience check on step-files signed URLEPSS 0.2%CVE-2026-102831HIGHJupyterLab: Cross-site scripting (XSS) in JupyterLab via notebook cells pasted from the system clipboardEPSS 0.2%