Weaknesses of type CWE-345

676 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2017-20180MEDIUMZerocoin libzerocoin Proof CoinSpend.cpp CoinSpend data authenticityEPSS 0.3%CVE-2026-19127MEDIUMInsufficient verification of lifetime-deal redemption codes allows forgery of permanent paid subscriptionsEPSS 0.3%CVE-2026-102695HIGHOmniFaces: Forged combined-resource IDs and related output/push boundariesEPSS 0.3%CVE-2026-110607HIGHBizSpring Shop through commit cf22d39daaf1 Payment Bypass via test_post_pay EndpointEPSS 0.3%CVE-2026-30792HIGHRustDesk Client Blindly Merges Unauthenticated Strategy Payloads, Bypassing Local Security SettingsEPSS 0.3%CVE-2022-41961MEDIUMBigBlueButton subject to Ineffective user bansEPSS 0.3%CVE-2022-46139MEDIUMTP-Link TL-WR940N V4 3.16.9 and earlier allows authenticated attackers to cause a Denial of Service (DoS) via uploading a crafted firmware iEPSS 0.3%CVE-2026-50195MEDIUMcontainerd: CRI checkpoint import allows local image tag poisoningEPSS 0.3%CVE-2026-7792MEDIUMWPForms <= 1.10.0.4 - Unauthenticated Insufficient Verification of Data Authenticity via PayPal Commerce Webhook EndpointEPSS 0.3%CVE-2022-36360—A vulnerability has been identified in LOGO! 8 BM (incl. SIPLUS variants) (All versions < V8.3). Affected devices load firmware updates withEPSS 0.3%CVE-2026-53961MEDIUMDiscourse: Forged AWS SNS bounce notifications can disable a targeted user's email (missing TopicArn binding)EPSS 0.3%CVE-2026-66787HIGHLighthouse: lighthouse: cross-cluster dns spoofing via unvalidated endpointslice ip addressesEPSS 0.3%CVE-2026-55698HIGHpnpm: Project env lockfile can short-circuit package-manager resolution and execute lockfile-selected pnpm bytesEPSS 0.3%CVE-2023-23941HIGHSwagPayPal payment not sent to PayPal correctlyEPSS 0.3%CVE-2026-28454HIGHOpenClaw < 2026.2.2 - Authorization Bypass via Unauthenticated Telegram WebhookEPSS 0.3%CVE-2026-67618HIGHmarimo < 0.23.15 API Key Exfiltration via Malicious Notebook PEP-723 MetadataEPSS 0.3%CVE-2026-71576HIGHMulticluster-global-hub: multicluster-global-hub: manager trusts self-asserted evt.source() for leaf-hub identity in all status handlersEPSS 0.3%CVE-2022-39199MEDIUMLack of proper validation in immudb EPSS 0.3%CVE-2020-3174MEDIUMCisco NX-OS Software Anycast Gateway Invalid ARP VulnerabilityEPSS 0.3%CVE-2024-34354MEDIUMCMSaasStarter: JWT Token Not Verified on Server SessionEPSS 0.3%