Weaknesses of type CWE-345

683 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2026-104108HIGHFileRise OIDC login can bind an attacker identity to an existing local accountEPSS 0.2%CVE-2026-48799HIGHPostiz: Unauthenticated arbitrary lifetime PRO grant via Nowpayments webhookEPSS 0.2%CVE-2026-19061MEDIUMInsta InstaKNXServiceApp Firmware Update CreateWebClientAndDownloadFileList data authenticityEPSS 0.2%CVE-2026-54581HIGHmport bootstrap index fetch can continue after hash verification failureEPSS 0.2%CVE-2026-82813MEDIUMBEN Group TubeBuddy for YouTube Extension tubebuddymaster1.js TBGlobal.GetToken data authenticityEPSS 0.2%CVE-2026-82811MEDIUMToggl OÜ Toggl Track Extension postMessage origin validationEPSS 0.2%CVE-2026-33471CRITICALnimiq-block has skip block quorum bypass via out-of-range BitSet indices & u16 truncationEPSS 0.2%CVE-2026-6986MEDIUMCesanta Mongoose GCM Authentication Tag tls_aes128.c mg_aes_gcm_decrypt signature verificationEPSS 0.2%CVE-2026-35039CRITICALfast-jwt Affected by Cache Confusion via cacheKeyBuilder Collisions Can Return Claims From a Different Token (Identity/Authorization Mixup)EPSS 0.2%CVE-2026-104805HIGHMitel MiVoice Office 400 Backup Restoration Arbitrary File Write Leading to Root Code ExecutionEPSS 0.2%CVE-2022-41156HIGHOndiskPlayer Remote Code Execution VulnerabilityEPSS 0.2%CVE-2026-10599HIGHIntegrate PhonePe with WooCommerce <= 1.2.1 - Unauthenticated Payment Bypass via Transaction ID ReuseEPSS 0.2%CVE-2026-45337HIGHBetter Auth: Device authorization approve and deny accept any authenticated session while the user code is pendingEPSS 0.2%CVE-2026-82017HIGHIGEL OS 12 / 11 Boot Registry Parameter Injection via Unsigned Configuration AreaEPSS 0.2%CVE-2024-47867LOWLack of integrity check on the downloaded FRP client in GradioEPSS 0.2%CVE-2026-74890CRITICALopenssl_encrypt before 1.4.0 HMAC Authentication Bypass via Environment VariableEPSS 0.2%CVE-2024-40644MEDIUMgitoxide's gix-path can use a fake program files locationEPSS 0.2%CVE-2023-28457HIGHAn issue was discovered in Technitium through 11.0.3. It enables attackers to conduct a DNS cache poisoning attack and inject fake responsesEPSS 0.2%CVE-2025-1108HIGHInsufficient data authenticity vulnerability in JantoEPSS 0.2%CVE-2026-88592CRITICALkkFileView >= 4.2.0 is vulnerable to Server-Side Request Forgery (SSRF). The cross-origin file proxy endpoint /getCorsFile is protected by TEPSS 0.2%