Weaknesses of type CWE-345

683 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2023-30562MEDIUMLack of Dataset Integrity Checking EPSS 0.2%CVE-2026-104422HIGHZebra before 6.3.0 Block Sync Denial of Service via Coinbase scriptSig RewriteEPSS 0.2%CVE-2023-41898HIGH Arbitrary URL load in Android WebView in `MyActivity.kt` in Home Assistant Companion for AndroidEPSS 0.2%CVE-2026-68945HIGHAngular: Cache-Key Ambiguity in HttpTransferCache Leading to Cross-Request Response Reuse and State PoisoningEPSS 0.2%CVE-2026-47737HIGHPuma PROXY Protocol v1 Accepts Repeated Protocol Headers on Persistent ConnectionsEPSS 0.2%CVE-2023-30559MEDIUMWireless Card Firmware Improperly SignedEPSS 0.2%CVE-2026-39366MEDIUMWWBN AVideo Affected by a PayPal IPN Replay Attack Enabling Wallet Balance Inflation via Missing Transaction Deduplication in ipn.phpEPSS 0.2%CVE-2026-73657MEDIUMTrigger.dev: Cross-tenant payload poisoning via packet write + replayEPSS 0.2%CVE-2026-119289HIGHZuke: githubWorkflow adopts any workflow run whose title matches its marker, so anyone who can dispatch the workflow can satisfy or block a release gateEPSS 0.2%CVE-2026-84767MEDIUMWordPress BookIt plugin <= 2.6.0.3 - Bypass Vulnerability vulnerabilityEPSS 0.2%CVE-2026-52688HIGHRRSIGs with too few labels can lead to bypass of DNSSEC wildcard validationEPSS 0.2%CVE-2026-110985CRITICALApache Kafka: Broker silently skips JWT signature verification for SASL/OAUTHBEARER when the JWKS endpoint URL is not configuredEPSS 0.2%CVE-2026-0939MEDIUMRede Itaú for WooCommerce — Payment PIX, Credit Card and Debit <= 5.1.2 - Unauthenticated Order Status ManipulationEPSS 0.2%CVE-2019-1667MEDIUMCisco HyperFlex Arbitrary Statistics Write VulnerabilityEPSS 0.2%CVE-2023-52109HIGHVulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability may affect serEPSS 0.2%CVE-2025-53548HIGH@clerk/backend Performs Insufficient Verification of Data AuthenticityEPSS 0.2%CVE-2026-2385MEDIUMThe Plus Addons for Elementor – Addons for Elementor, Page Templates, Widgets, Mega Menu, WooCommerce <= 6.4.7 - Unauthenticated Email RelayEPSS 0.2%CVE-2026-77955MEDIUMPossible ZONEMD verification bypass windowEPSS 0.2%CVE-2026-47202CRITICALKavita: Pre-Auth Account TakeoverEPSS 0.2%CVE-2024-8356HIGHVisteon Infotainment VIP MCU Code Insufficient Validation of Data Authenticity Local Privilege Escalation VulnerabilityEPSS 0.2%