Fallos del tipo CWE-345

676 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2024-34354MEDIUMCMSaasStarter: JWT Token Not Verified on Server SessionEPSS 0.3%CVE-2020-3174MEDIUMCisco NX-OS Software Anycast Gateway Invalid ARP VulnerabilityEPSS 0.3%CVE-2019-3875MEDIUMA vulnerability was found in keycloak before 6.0.2. The X.509 authenticator supports the verification of client certificates through the CRLEPSS 0.3%CVE-2026-58593HIGHNodeBB - ActivityPub Author Spoofing via Unvalidated attributedTo Mapped to Local UserEPSS 0.3%CVE-2026-53516HIGHBetter Auth: Account takeover via OAuth auto-link to unverified pre-registered emailEPSS 0.3%CVE-2023-45586MEDIUMAn insufficient verification of data authenticity vulnerability [CWE-345] in Fortinet FortiOS SSL-VPN tunnel mode version 7.4.0 through 7.4.EPSS 0.3%CVE-2022-34763MEDIUMA CWE-345: Insufficient Verification of Data Authenticity vulnerability exists that could cause loading of unauthorized firmware images due EPSS 0.3%CVE-2026-47304HIGH.NET Security Feature Bypass VulnerabilityEPSS 0.3%CVE-2026-82858CRITICAL@hulumi/drift before 1.3.2 Unsafe Execute Plan AcceptanceEPSS 0.3%CVE-2025-0510MEDIUMAddress of e-mail sender can be spoofed by malicious emailEPSS 0.3%CVE-2026-30851HIGHCaddy forward_auth copy_headers Does Not Strip Client-Supplied Headers, Allowing Identity Injection and Privilege EscalationEPSS 0.3%CVE-2026-4478CRITICALYi Technology YI Home Camera HTTP Firmware Update ipc signature verificationEPSS 0.3%CVE-2026-63687CRITICALApache CXF: JwtRequestCodeFilter silently overrides outer PKCE and nonce parametersEPSS 0.3%CVE-2026-54764MEDIUMForwardAuth middleware leaks X-Forwarded-Port spoofing via untrusted X-Forwarded-Proto when trustForwardHeader=falseEPSS 0.3%CVE-2026-44087MEDIUMApache APISIX: Openid-connect plugin Identity Header SpoofingEPSS 0.3%CVE-2025-25188MEDIUMDNSSEC validation may accept broken authentication chainsEPSS 0.3%CVE-2026-32597HIGHPyJWT accepts unknown `crit` header extensions (RFC 7515 §4.1.11 MUST violation)EPSS 0.3%CVE-2026-9561HIGHEclipse Kura versions prior to 5.6.2 trust the client-supplied X-Forwarded-For HTTP header as the authoritative source of the client IP addrEPSS 0.3%CVE-2026-65583CRITICALApache CXF: Self-issued ID token claims validation skippedEPSS 0.3%CVE-2022-46422MEDIUMAn issue in Netgear WNR2000 v1 1.2.3.7 and earlier allows authenticated attackers to cause a Denial of Service (DoS) via uploading a craftedEPSS 0.3%