Weaknesses of type CWE-345

676 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2021-32665HIGHVerified groups not reliableEPSS 0.5%CVE-2021-4031HIGHSyltek Insufficient Verification of Data AuthenticityEPSS 0.5%CVE-2026-71965HIGHCyberPanel 2.4.3 Authenticated RCE via Remote Backup FeatureEPSS 0.5%CVE-2025-48865CRITICALFabio allows HTTP clients to manipulate custom headers it addsEPSS 0.5%CVE-2023-42816MEDIUMDenial of service from malicious signature in kyvernoEPSS 0.5%CVE-2023-27360HIGHNETGEAR RAX30 lighttpd Misconfiguration Remote Code Execution VulnerabilityEPSS 0.4%CVE-2025-12295HIGHD-Link DAP-2695 Firmware Update sub_40C6B8 signature verificationEPSS 0.4%CVE-2023-47631HIGHvantage6 Node accepts non-whitelisted algorithms from malicious serverEPSS 0.4%CVE-2026-27510MEDIUMUnitree Go2 Mobile Program Tampering Enables Root RCEEPSS 0.4%CVE-2026-62869HIGHAzure Entra ID Spoofing VulnerabilityEPSS 0.4%CVE-2021-24825—Custom Content Shortcode < 4.0.2 - Authenticated Arbitrary File Access / LFIEPSS 0.4%CVE-2023-42782MEDIUMA insufficient verification of data authenticity vulnerability [CWE-345] in FortiAnalyzer version 7.4.0 and below 7.2.3 allows a remote unauEPSS 0.4%CVE-2024-11666CRITICALUnauthenticated Remote Command Injection in eCharge Salia PLCCEPSS 0.4%CVE-2021-41087MEDIUMImproperly Implemented path matching for in-toto-golangEPSS 0.4%CVE-2022-31877HIGHAn issue in the component MSI.TerminalServer.exe of MSI Center v1.0.41.0 allows attackers to escalate privileges via a crafted TCP packet.EPSS 0.4%CVE-2022-36111MEDIUMimmundb has insufficient verification of data authenticityEPSS 0.4%CVE-2023-5366HIGHOpenvswitch don't match packets on nd_target fieldEPSS 0.4%CVE-2025-27735MEDIUMWindows Virtualization-Based Security (VBS) Security Feature Bypass VulnerabilityEPSS 0.4%CVE-2026-85434CRITICALMOOS-IvP through 24.8.1 uFldShoreBroker Bridge Route Injection via Unverified Node PingEPSS 0.4%CVE-2026-85435CRITICALMOOS-IvP through 24.8.1 uFldNodeBroker Unauthenticated Shore Route EnrollmentEPSS 0.4%