Weaknesses of type CWE-345

683 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2024-55929MEDIUMMail spoofingEPSS 0.2%CVE-2026-33143HIGHOneUptime: WhatsApp Webhook Missing Signature VerificationEPSS 0.2%CVE-2021-41203HIGHMissing validation during checkpoint loadingEPSS 0.2%CVE-2026-57122HIGHPraisonAI: Webhook signature verification skipped (fail-open) when secret unset, allowing forged inbound webhooks (WhatsApp & Linear bots)EPSS 0.2%CVE-2025-66225HIGHOrangeHRM is Vulnerable to Account Takeover Through Unvalidated Username in Password Reset WorkflowEPSS 0.2%CVE-2026-55663MEDIUMmediasoup: SCTP state cookie lacks cryptographic authentication, enabling unauthorized association establishment (RFC 9260 violation)EPSS 0.2%CVE-2026-73435HIGHSecurity Advisory 0171EPSS 0.2%CVE-2024-5684MEDIUMID Charger Connect & Pro - JWT-Null-AlgorithmEPSS 0.2%CVE-2026-68554LOWCoturn: STUN attributes after MESSAGE-INTEGRITY are processed, letting on-path attackers modify authenticated TURN requestsEPSS 0.2%CVE-2026-81702CRITICALopenssl_encrypt before 1.4.9 Key Substitution via Identity LoadEPSS 0.2%CVE-2024-25584MEDIUMDovecot accepts dot LF DOT LF symbol as end of DATA command. RFC requires that it should always be CR LF DOT CR LF. This causes Dovecot to cEPSS 0.2%CVE-2026-43534CRITICALOpenClaw < 2026.4.10 - Unsanitized External Input in Agent Hook EventsEPSS 0.2%CVE-2025-24903HIGHlibsignal-service-rs Doesn't Check Origin of Sync MessagesEPSS 0.2%CVE-2026-43835HIGHA vulnerability in the firmware upgrade functionality could allow an authenticated attacker to upload a forged firmware upgrade file, potentEPSS 0.2%CVE-2026-59357MEDIUMSelf-UAA OIDC Configuration allows JWT injection to establish unauthorized sessionsEPSS 0.2%CVE-2026-123596HIGHHickory DNS through 0.26.0-alpha.1 DNSSEC Validation Bypass via Ancestor-Delegation NSECEPSS 0.2%CVE-2026-6498MEDIUMFive Star Restaurant Reservations <= 2.7.16 - Unauthenticated Payment Bypass via PHP Type Juggling in 'payment_id' ParameterEPSS 0.2%CVE-2024-7847HIGHRSLogix™ 5 and RSLogix 500® Remote Code Execution Via VBA Embedded ScriptEPSS 0.2%CVE-2026-49331MEDIUMOpenshift/oauth-proxy: openshift/oauth-proxy: unauthenticated identity header injection on whitelisted pathsEPSS 0.2%CVE-2026-123595HIGHHickory DNS through 0.26.0-alpha.1 DNSSEC Validation Bypass via Ancestor-Delegation NSEC3EPSS 0.2%