Weaknesses of type CWE-345

683 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2026-52812HIGHGogs: LFS dedupe path leaks private repo content across tenantsEPSS 0.2%CVE-2020-13178—A function in the Teradici PCoIP Standard Agent for Windows and Graphics Agent for Windows prior to version 20.04.1 does not properly validaEPSS 0.2%CVE-2026-102682MEDIUMPipecat: Public exposure of Pipecat’s development runner can allow unauthenticated bot session creationEPSS 0.2%CVE-2026-7606MEDIUMTRENDnet TEW-821DAP Firmware Update new_gui_update_firmware data authenticityEPSS 0.2%CVE-2026-45058CRITICALelecterm: Import unsafe bookmark data could lead to unsafe operation when click local type bookmarkEPSS 0.2%CVE-2026-7611MEDIUMTRENDnet TEW-821DAP Firmware Update cameo_dev.sh platform_do_upgrade_cameo_dev data authenticityEPSS 0.2%CVE-2026-45057MEDIUMmatrix-sdk-ui: Incomplete edit validationEPSS 0.2%CVE-2026-25474HIGHOpenClaw has a Telegram webhook request forgery (missing `channels.telegram.webhookSecret`) → auth bypassEPSS 0.2%CVE-2026-23966CRITICALsm-crypto Affected by Private Key Recovery in SM2-PKEEPSS 0.2%CVE-2022-46370HIGHRumpus - FTP server Improper Token Verification EPSS 0.2%CVE-2026-33233HIGHAutoGPT Platform: Remote Code Execution via Unsafe Pickle Deserialization of Redis Cache EntriesEPSS 0.2%CVE-2026-30920HIGHOneUptime has broken access control in GitHub App installation flow that allows unauthorized project bindingEPSS 0.2%CVE-2025-15385CRITICALInsufficient Verification of Data Authenticity vulnerability in TECNO Mobile com.Afmobi.Boomplayer allows Authentication Bypass.This issue aEPSS 0.2%CVE-2026-56073CRITICALCap-go - OTP Bypass via Response Manipulation in Email VerificationEPSS 0.2%CVE-2025-2346MEDIUMIROAD Dash Cam X5/Dash Cam X6 Domain origin validationEPSS 0.2%CVE-2021-34572MEDIUMInsufficient Verification of Data Authenticity in Enbra EWM (replay attack)EPSS 0.2%CVE-2025-34337HIGHeGovFramework <= 4.3.1 Unauthenticated Encryption Oracle via Web Editor Image Upload EndpointsEPSS 0.2%CVE-2026-67307HIGHWazuh before 5.0.0-beta3 Cluster Attribution Spoofing via Inventory SyncEPSS 0.2%CVE-2026-19941MEDIUMcheckwildcard() accepts an out-of-zone NSEC as a wildcard-nonexistence proofEPSS 0.2%CVE-2026-108971CRITICALD-Link DCS-930L Emergency HTTP Recovery Server bootloader_region.bin mpfd_decode signature verificationEPSS 0.2%