Weaknesses of type CWE-345

683 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2026-47123HIGHFreeScout: Agent Impersonation via Missing HMAC Verification on Notification Reply Message-ID PathEPSS 0.1%CVE-2026-103301MEDIUMPayment Gateway for Telcell < 2.0.5 - Unauthenticated Payment Confirmation Forgery via Empty-Default Merchant SecretEPSS 0.1%CVE-2026-48816MEDIUMsigstore-js: Insufficient Verification of Data AuthenticityEPSS 0.1%CVE-2025-12080MEDIUMIntent Abuse in Google Messages for Wear OS for Silent Message SendingEPSS 0.1%CVE-2026-82844MEDIUMWPForms Lite 1.10.0.1 - 2.0.2.1 - Unauthenticated Payment Bypass via PayPal CommerceEPSS 0.1%CVE-2025-7884MEDIUMEluktronics Control Center REG File data authenticityEPSS 0.1%CVE-2026-110952MEDIUMApache Kafka: Broker does not enforce JWT issuer and audience validation for SASL/OAUTHBEARER by defaultEPSS 0.1%CVE-2026-63115MEDIUMActivityPub Undo handler can unfollow or remove reposts on behalf of other accountsEPSS 0.1%CVE-2026-105161MEDIUMinvariant-systems-ai aiir Policy Gate signature verificationEPSS 0.1%CVE-2026-85641MEDIUMFormidable Forms 6.34 - Unauthenticated Stored Content Injection via 'updated_by' ParameterEPSS 0.1%CVE-2026-15246MEDIUMRealHomes Memberships < 3.1.0 - Subscriber+ Membership Payment BypassEPSS 0.1%CVE-2026-49483HIGHCode for IBMi: Uses IBM i components with blind check allowing arbitrary code executionEPSS 0.1%CVE-2025-56438MEDIUMAn issue in the firmware update mechanism of Nous W3 Smart WiFi Camera v1.33.50.82 allows unauthenticated and physically proximate attackersEPSS 0.1%CVE-2026-102140MEDIUMKiteworks Core Insufficient Verification of Data AuthenticityEPSS 0.1%CVE-2026-105256MEDIUMLatePoint < 5.7.5 - Unauthenticated Payment Bypass via 'payment_portion' ParameterEPSS 0.1%CVE-2026-39969MEDIUMTypeBot: WhatsApp Webhook Endpoint Missing Signature VerificationEPSS 0.1%CVE-2026-112939MEDIUMfilelock: SoftFileLock removes a live holder's marker when another user forges the PID in a writable markerEPSS 0.1%CVE-2025-23415LOWBIG-IP APM Endpoint Inspection vulnerabilityEPSS 0.1%CVE-2026-103308MEDIUMVisma Pay for WooCommerce < 1.2.2 - Unauthenticated Payment Bypass and Order Data Disclosure via Gateway Return EndpointEPSS 0.1%CVE-2025-59323HIGHCPSD CryptoPro Secure Disk for Bitlocker before v7.7.4 fails to validate the integrity of the DataStore, a non-partitioned filesystem, respoEPSS 0.1%