Weaknesses of type CWE-345

557 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2026-58002HIGHWWBN AVideo Authorization Bypass via Users_affiliations add.json.phpEPSS 0.1%CVE-2025-23415LOWBIG-IP APM Endpoint Inspection vulnerabilityEPSS 0.1%CVE-2026-39969MEDIUMTypeBot: WhatsApp Webhook Endpoint Missing Signature VerificationEPSS 0.1%CVE-2026-2428HIGHFluent Forms Pro Add On Pack <= 6.1.17 - Missing Authorization to Unauthenticated Payment Status modificationEPSS 0.1%CVE-2026-54579LOWmport mirror-selection ping accepts insufficiently validated ICMP repliesEPSS 0.1%CVE-2026-81702CRITICALopenssl_encrypt before 1.4.9 Key Substitution via Identity LoadEPSS 0.1%CVE-2026-71858MEDIUMNotepad++: shortcuts.xml Macro HMAC Bypass Enables Conditional Elevated Command ExecutionEPSS 0.1%CVE-2022-22567MEDIUMSelect Dell Client Commercial and Consumer platforms are vulnerable to an insufficient verification of data authenticity vulnerability. An aEPSS 0.1%CVE-2026-53728HIGHMedplum - Improper Validation of Redirect URI in External Auth Callback allows Authorization Code LeakageEPSS 0.1%CVE-2026-10079HIGHStackrox: stackrox: deploy-time policy enforcement and visibility bypass via label injectionEPSS 0.1%CVE-2023-36858HIGHBIG-IP Edge Client for Windows and macOS vulnerabilityEPSS 0.1%CVE-2026-54586MEDIUMmport permits repository and package mirror fetches over insecure transportEPSS 0.1%CVE-2026-82462MEDIUMpac4j-oidc before 6.5.6 Authentication Bypass via Access Token SubstitutionEPSS 0.1%CVE-2026-85641MEDIUMFormidable Forms 6.34 - Unauthenticated Stored Content Injection via 'updated_by' ParameterEPSS 0.1%CVE-2026-73450HIGHSecurity Advisory 0161EPSS 0.1%CVE-2026-81706CRITICALopenssl_encrypt before 1.4.9 Key Substitution via Identity ShadowingEPSS 0.1%CVE-2024-39805HIGHInsufficient verification of data authenticity in some Intel(R) DSA software before version 23.4.39 may allow an authenticated user to potenEPSS 0.1%CVE-2025-56438MEDIUMAn issue in the firmware update mechanism of Nous W3 Smart WiFi Camera v1.33.50.82 allows unauthenticated and physically proximate attackersEPSS 0.1%CVE-2023-43636HIGHRootfs Not ProtectedEPSS 0.1%CVE-2026-49331MEDIUMOpenshift/oauth-proxy: openshift/oauth-proxy: unauthenticated identity header injection on whitelisted pathsEPSS 0.1%