Weaknesses of type CWE-345

555 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2025-1945MEDIUMpicklescan - Zip Flag Bit Exploit Crashes Picklescan But Not PyTorchEPSS 0.6%CVE-2023-3325HIGHCMS Commander <= 2.287 - Authorization Bypass through Use of Insufficiently Unique Cryptographic SignatureEPSS 0.5%CVE-2020-24672CRITICALABB Base Software for SoftControl Remote Code Execution vulnerabilityEPSS 0.5%CVE-2020-1755—In Moodle before 3.8.2, 3.7.5, 3.6.9 and 3.5.11, X-Forwarded-For headers could be used to spoof a user's IP, in order to bypass remote addreEPSS 0.5%CVE-2026-4115MEDIUMPuTTY Ed25519 Signature ecc-ssh.c eddsa_verify signature verificationEPSS 0.5%CVE-2024-3049MEDIUMBooth: specially crafted hash can lead to invalid hmac being accepted by booth serverEPSS 0.5%CVE-2020-3220MEDIUMCisco IOS XE Software IPsec VPN Denial of Service VulnerabilityEPSS 0.5%CVE-2023-36541HIGHInsufficient verification of data authenticity in Zoom Desktop Client for Windows before 5.14.5 may allow an authenticated user to enable anEPSS 0.5%CVE-2023-2987CRITICALWordapp <= 1.6.0 - Authorization Bypass through Use of Insufficiently Unique Cryptographic SignatureEPSS 0.5%CVE-2020-15262LOWInvalid integrity hashes in webpack-subresource-integrityEPSS 0.5%CVE-2023-25178CRITICALController design flaw - unsigned firmwareEPSS 0.5%CVE-2021-4226CRITICALRSFirewall < 1.1.25 - IP Block BypassEPSS 0.5%CVE-2025-8978HIGHD-Link DIR-619L boa FirmwareUpgrade data authenticityEPSS 0.5%CVE-2023-39347HIGHCilium NetworkPolicy bypass via pod labelsEPSS 0.5%CVE-2021-39158HIGHDependency injection in NVCaffeEPSS 0.5%CVE-2025-48865CRITICALFabio allows HTTP clients to manipulate custom headers it addsEPSS 0.5%CVE-2022-38873HIGHD-Link devices DAP-2310 v2.10rc036 and earlier, DAP-2330 v1.06rc020 and earlier, DAP-2360 v2.10rc050 and earlier, DAP-2553 v3.10rc031 and eaEPSS 0.5%CVE-2021-32665HIGHVerified groups not reliableEPSS 0.5%CVE-2021-4031HIGHSyltek Insufficient Verification of Data AuthenticityEPSS 0.5%CVE-2023-42816MEDIUMDenial of service from malicious signature in kyvernoEPSS 0.5%