Weaknesses of type CWE-345

683 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2025-59323HIGHCPSD CryptoPro Secure Disk for Bitlocker before v7.7.4 fails to validate the integrity of the DataStore, a non-partitioned filesystem, respoEPSS 0.1%CVE-2022-22567MEDIUMSelect Dell Client Commercial and Consumer platforms are vulnerable to an insufficient verification of data authenticity vulnerability. An aEPSS 0.1%CVE-2026-18044LOWEstatik Real Estate Plugin < 4.3.4 - Unauthenticated Arbitrary-Recipient Mail Relay via Signed-Value MismatchEPSS 0.1%CVE-2026-91017LOWRobokassa payment gateway for Woocommerce < 1.8.9 - Unauthenticated Payment Bypass via Forged JWT CallbackEPSS 0.1%CVE-2026-32294HIGHJetKVM insufficient firmware verificationEPSS 0.1%CVE-2026-104642LOWSimple Shopping Cart 5.1.3 - 5.3.2 - Contributor+ Price Manipulation via Price Verification BypassEPSS 0.1%CVE-2026-85288MEDIUMNotepad++: Shortcuts.xml macro HMAC bypass still reachable via the "Run a Macro Multiple Times" dialogEPSS 0.1%CVE-2026-13257MEDIUMIBM DataPower Gateway Insufficient Verification of Data AuthenticityEPSS 0.1%CVE-2025-66621—Apache James: SASL OAUTHBEARER do not validate aud in JWT payload if misconfigredEPSS 0.1%CVE-2023-36858HIGHBIG-IP Edge Client for Windows and macOS vulnerabilityEPSS 0.1%CVE-2025-52638MEDIUMMultiple security vulnerabilities affect HCL AIONEPSS 0.1%CVE-2026-123591HIGHHickory DNS 0.26.0-beta.1 before 0.26.2 DNSSEC Validation Bypass via Missing RFC 6840 ChecksEPSS 0.1%CVE-2026-50248MEDIUMBOGUS configured primary hostname accepted for XFR in auth/rpz zonesEPSS 0.1%CVE-2026-101278MEDIUMTrusted Domain Project OpenDMARC PSL Wildcard opendmarc_tld.c : opendmarc_get_tld origin validationEPSS 0.1%CVE-2026-104381MEDIUMFireware OS Missing Authentication in FireCluster State Sync Allows BOVPN Tunnel Denial of ServiceEPSS 0.1%CVE-2026-108568MEDIUMInstantSoft icms2 Billing paypal.php validatePaypalOrder data authenticityEPSS 0.1%CVE-2026-40109LOWFlux notification-controller GCR Receiver missing email validation allows unauthorized reconciliation triggeringEPSS 0.1%CVE-2026-39411MEDIUMLobeHub has an unauthenticated authentication bypass on `webapi` routes via forgeable `X-lobe-chat-auth` headerEPSS 0.1%CVE-2024-39805HIGHInsufficient verification of data authenticity in some Intel(R) DSA software before version 23.4.39 may allow an authenticated user to potenEPSS 0.1%CVE-2026-82212HIGHNexi XPay Build <= 7.6.2 - Unauthenticated Payment Bypass via NPG Notification HandlerEPSS 0.1%