Weaknesses of type CWE-345

676 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2023-37920HIGHCertifi's removal of e-Tugra root certificateEPSS 0.6%CVE-2023-5747HIGHCommand injection via wave install fileEPSS 0.6%CVE-2020-1755—In Moodle before 3.8.2, 3.7.5, 3.6.9 and 3.5.11, X-Forwarded-For headers could be used to spoof a user's IP, in order to bypass remote addreEPSS 0.6%CVE-2026-18674HIGHKong Mesh multi-zone: the global control plane attributes KDS-synced resources by an unvalidated in-band zone identifierEPSS 0.6%CVE-2025-1945MEDIUMpicklescan - Zip Flag Bit Exploit Crashes Picklescan But Not PyTorchEPSS 0.6%CVE-2026-4115MEDIUMPuTTY Ed25519 Signature ecc-ssh.c eddsa_verify signature verificationEPSS 0.6%CVE-2023-3325HIGHCMS Commander <= 2.287 - Authorization Bypass through Use of Insufficiently Unique Cryptographic SignatureEPSS 0.5%CVE-2021-4226CRITICALRSFirewall < 1.1.25 - IP Block BypassEPSS 0.5%CVE-2020-24672CRITICALABB Base Software for SoftControl Remote Code Execution vulnerabilityEPSS 0.5%CVE-2022-23491MEDIUMRemoval of TrustCor root certificateEPSS 0.5%CVE-2024-3049MEDIUMBooth: specially crafted hash can lead to invalid hmac being accepted by booth serverEPSS 0.5%CVE-2020-3220MEDIUMCisco IOS XE Software IPsec VPN Denial of Service VulnerabilityEPSS 0.5%CVE-2023-36541HIGHInsufficient verification of data authenticity in Zoom Desktop Client for Windows before 5.14.5 may allow an authenticated user to enable anEPSS 0.5%CVE-2023-2987CRITICALWordapp <= 1.6.0 - Authorization Bypass through Use of Insufficiently Unique Cryptographic SignatureEPSS 0.5%CVE-2023-25178CRITICALController design flaw - unsigned firmwareEPSS 0.5%CVE-2020-15262LOWInvalid integrity hashes in webpack-subresource-integrityEPSS 0.5%CVE-2022-38873HIGHD-Link devices DAP-2310 v2.10rc036 and earlier, DAP-2330 v1.06rc020 and earlier, DAP-2360 v2.10rc050 and earlier, DAP-2553 v3.10rc031 and eaEPSS 0.5%CVE-2021-39158HIGHDependency injection in NVCaffeEPSS 0.5%CVE-2025-8979HIGHTenda AC15 Firmware Update check_fw data authenticityEPSS 0.5%CVE-2025-7096CRITICALComodo Internet Security Premium Manifest File cis_update_x64.xml integrity checkEPSS 0.5%