Weaknesses of type CWE-345

557 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2025-56438MEDIUMAn issue in the firmware update mechanism of Nous W3 Smart WiFi Camera v1.33.50.82 allows unauthenticated and physically proximate attackersEPSS 0.1%CVE-2024-39805HIGHInsufficient verification of data authenticity in some Intel(R) DSA software before version 23.4.39 may allow an authenticated user to potenEPSS 0.1%CVE-2026-49331MEDIUMOpenshift/oauth-proxy: openshift/oauth-proxy: unauthenticated identity header injection on whitelisted pathsEPSS 0.1%CVE-2026-57122HIGHPraisonAI: Webhook signature verification skipped (fail-open) when secret unset, allowing forged inbound webhooks (WhatsApp & Linear bots)EPSS 0.1%CVE-2025-7884MEDIUMEluktronics Control Center REG File data authenticityEPSS 0.1%CVE-2025-71057HIGHImproper session management in D-Link Wireless N 300 ADSL2+ Modem Router DSL-124 ME_1.00 allows attackers to execute a session hijacking attEPSS 0.1%CVE-2026-77955MEDIUMPossible ZONEMD verification bypass windowEPSS 0.1%CVE-2026-50248MEDIUMBOGUS configured primary hostname accepted for XFR in auth/rpz zonesEPSS 0.1%CVE-2026-59247HIGHInsufficient verification of Hex package metadata in GleamEPSS 0.1%CVE-2026-32294HIGHJetKVM insufficient firmware verificationEPSS 0.1%CVE-2026-13483LOWarc53 DocsGPT Credential Storage encryption.py encrypt_credentials data authenticityEPSS 0.1%CVE-2026-69105HIGHPotential package cache integrity issue in JFrog ArtifactoryEPSS 0.1%CVE-2025-52638MEDIUMMultiple security vulnerabilities affect HCL AIONEPSS 0.1%CVE-2026-49450HIGHJoplin desktop Windows auto-updater accepts signed installer from any publisher because app-update.yml has no publisherNameEPSS 0.1%CVE-2026-40109LOWFlux notification-controller GCR Receiver missing email validation allows unauthorized reconciliation triggeringEPSS 0.1%CVE-2026-54266HIGHAngular: Weak 32-Bit Cache Key Hashing in `HttpTransferCache` Leading to Cross-Request Data Leakage and State PoisoningEPSS 0.1%CVE-2026-34778MEDIUMElectron: Service worker can spoof executeJavaScript IPC repliesEPSS 0.1%CVE-2026-74882HIGHopenssl_encrypt before 1.4.0 Insecure Default ConfigurationEPSS 0.1%CVE-2026-10724MEDIUMReviews Feed < 2.6.5 - Unauthenticated Stored Arbitrary Shortcode Execution via Google ReviewsEPSS 0.1%CVE-2026-39411MEDIUMLobeHub has an unauthenticated authentication bypass on `webapi` routes via forgeable `X-lobe-chat-auth` headerEPSS 0.1%