Weaknesses of type CWE-345

557 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2026-39155MEDIUMKnot DNS before 3.4.10 and 3.5.x before 3.5.4 contains a vulnerability in mod-onlinesign where the next NSEC owner name can be computed incoEPSS 0.1%CVE-2026-72817MEDIUMgo-chi chi 0.9.0 before 5.3.0 IP Spoofing via X-Forwarded-ForEPSS 0.1%CVE-2026-46539MEDIUMnimiq-primitives: BlockInclusionProof interlink issue when hops are emptyEPSS 0.1%CVE-2026-71576HIGHMulticluster-global-hub: multicluster-global-hub: manager trusts self-asserted evt.source() for leaf-hub identity in all status handlersEPSS 0.1%CVE-2026-82811MEDIUMToggl OÜ Toggl Track Extension postMessage origin validationEPSS 0.1%CVE-2026-82813MEDIUMBEN Group TubeBuddy for YouTube Extension tubebuddymaster1.js TBGlobal.GetToken data authenticityEPSS 0.1%CVE-2026-20355MEDIUMCisco Secure Email S/MIME Ciphertext Decryption VulnerabiltyEPSS 0.1%CVE-2025-12080MEDIUMIntent Abuse in Google Messages for Wear OS for Silent Message SendingEPSS 0.1%CVE-2026-54288MEDIUMHono: Body Limit Middleware can be bypassed on AWS Lambda by understating `Content-Length`EPSS 0.1%CVE-2026-45055HIGHCubeCart: Pre-Authenticated Password Reset Link Poisoning via HTTP Host HeaderEPSS 0.1%CVE-2026-12724MEDIUMKirki < 6.0.12 - Unauthenticated HTML Injection in Password Reset Email via kirki-forgot-passwordEPSS 0.1%CVE-2026-59641HIGHS/MIME validator trusts signer-asserted signingTime for path validationEPSS 0.1%CVE-2026-47123HIGHFreeScout: Agent Impersonation via Missing HMAC Verification on Notification Reply Message-ID PathEPSS 0.1%CVE-2026-44690HIGHCross-zone wildcard cache poisoning via RRSIG.labels manipulationEPSS 0.1%CVE-2026-7689MEDIUMDolibarr ERP CRM Online Signature security.lib.php dol_verifyHash signature verificationEPSS 0.1%CVE-2026-84906MEDIUMEventin < 4.1.24 - Unauthenticated Payment Bypass via Stripe and PayPal Cross-Order Transaction ReplayEPSS 0.1%CVE-2026-54608HIGHMythicalDash: Unauthenticated payment bypass in Stripe success-redirect endpoint allows arbitrary free credit top-upEPSS 0.1%CVE-2026-73177HIGHNozomi Networks Labs identified a CWE-345: Insufficient Verification of Data Authenticity vulnerability in the firmware upgrade mechanism ofEPSS 0.1%CVE-2026-11361MEDIUMFormidable Forms < 6.32.1 - Unauthenticated Payment Bypass via PayPal APPROVAL_PENDING Subscription StatusEPSS 0.1%CVE-2026-39969MEDIUMTypeBot: WhatsApp Webhook Endpoint Missing Signature VerificationEPSS 0.1%