Weaknesses of type CWE-345

557 results

Verificação Insuficiente da Autenticidade de Dados

O software recebe dados de uma fonte externa (requisição HTTP, arquivo, API, mensagem) mas não valida adequadamente se eles realmente vêm de quem diz vir, ou se não foram alterados no caminho. Isso permite que um atacante falsifique ou modifique dados e o sistema os processe como legítimos, causando desde injeção de código até manipulação de lógica de negócio.

Example

Uma API de pagamento que recebe um JSON com status='pagamento confirmado' mas não verifica assinatura HMAC ou JWT. Um atacante intercepta a resposta, altera o status para 'aprovado' e envia de volta; o servidor processa como válido. Outro caso: um formulário que aceita um 'user_id' do cliente sem validar se aquele usuário é quem está fazendo a requisição.

How to mitigate

Use assinaturas criptográficas (HMAC-SHA256, RSA, ECDSA) ou tokens assinados (JWT) para dados críticos; valide origem com CORS e referer headers; nunca confie em dados do cliente sem verificação no servidor; implemente rate limiting e detecção de anomalias para detectar tentativas de manipulação em tempo real.

CVE-2026-30798HIGHRustDesk Client Accepts Unauthenticated stop-service Command via Strategy PayloadEPSS 0.3%CVE-2026-19127MEDIUMInsufficient verification of lifetime-deal redemption codes allows forgery of permanent paid subscriptionsEPSS 0.3%CVE-2025-0510MEDIUMAddress of e-mail sender can be spoofed by malicious emailEPSS 0.3%CVE-2025-25188MEDIUMDNSSEC validation may accept broken authentication chainsEPSS 0.3%CVE-2022-39199MEDIUMLack of proper validation in immudb EPSS 0.3%CVE-2026-54764MEDIUMForwardAuth middleware leaks X-Forwarded-Port spoofing via untrusted X-Forwarded-Proto when trustForwardHeader=falseEPSS 0.3%CVE-2026-44087MEDIUMApache APISIX: Openid-connect plugin Identity Header SpoofingEPSS 0.3%CVE-2022-41961MEDIUMBigBlueButton subject to Ineffective user bansEPSS 0.3%CVE-2022-34763MEDIUMA CWE-345: Insufficient Verification of Data Authenticity vulnerability exists that could cause loading of unauthorized firmware images due EPSS 0.3%CVE-2022-36360—A vulnerability has been identified in LOGO! 8 BM (incl. SIPLUS variants) (All versions < V8.3). Affected devices load firmware updates withEPSS 0.3%CVE-2024-33494MEDIUMA vulnerability has been identified in SIMATIC RTLS Locating Manager (6GT2780-0DA00) (All versions < V3.0.1.1), SIMATIC RTLS Locating ManageEPSS 0.3%CVE-2023-26481CRITICALInsufficient user check in FlowTokens by Email stageEPSS 0.3%CVE-2026-53512CRITICALBetter Auth: OAuth refresh-token replay via missing client authentication on oidc-provider and mcp pluginsEPSS 0.3%CVE-2025-34337HIGHeGovFramework <= 4.3.1 Unauthenticated Encryption Oracle via Web Editor Image Upload EndpointsEPSS 0.3%CVE-2026-80172CRITICALDell SCG 5.0 Appliance versions prior to 5.36.00.16 and Dell SCG 5.0 Application versions prior to 5.36.00.00, contains an Insufficient VeriEPSS 0.3%CVE-2026-4478CRITICALYi Technology YI Home Camera HTTP Firmware Update ipc signature verificationEPSS 0.3%CVE-2023-41896HIGHFake websocket server installation permits full takeover in Home Assistant CoreEPSS 0.3%CVE-2026-53561HIGHApache Hive: Unauthenticated authentication bypass in HiveServer2 HTTP SAML bearer-token validation allows impersonation of any Hive userEPSS 0.3%CVE-2025-52484LOWRISC Zero zkVM Underconstrained VulnerabilityEPSS 0.3%CVE-2026-56073CRITICALCap-go - OTP Bypass via Response Manipulation in Email VerificationEPSS 0.3%