Fallos del tipo CWE-345

676 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2026-45069HIGHSymfony: OidcTokenHandler Accepts JWTs Missing aud/iss/exp ClaimsEPSS 0.3%CVE-2024-1321MEDIUMEventPrime – Events Calendar, Bookings and Tickets <= 3.4.2 - Unauthenticated Booking Payment BypassEPSS 0.3%CVE-2024-10237HIGHSMC BMC Firmware Image Authentication Design IssueEPSS 0.3%CVE-2026-1195LOWMineAdmin JWT Token refresh data authenticityEPSS 0.3%CVE-2026-107102CRITICALAccount Takeover Vulnerability in Manacle Technologies ERP SystemEPSS 0.3%CVE-2026-2968MEDIUMCesanta Mongoose Poly1305 Authentication Tag tls_chacha20.c mg_chacha20_poly1305_decrypt signature verificationEPSS 0.3%CVE-2026-80172CRITICALDell SCG 5.0 Appliance versions prior to 5.36.00.16 and Dell SCG 5.0 Application versions prior to 5.36.00.00, contains an Insufficient VeriEPSS 0.3%CVE-2025-67298HIGHAn issue in ClasroomIO before v.0.2.6 allows a remote attacker to escalate privileges via the endpoints /api/verify and /rest/v1/profileEPSS 0.3%CVE-2026-72544HIGHOpenSignLabs OpenSign - Insufficient Verification of Data AuthenticityEPSS 0.3%CVE-2026-6967HIGHMissing Delegated Metadata Validation in awslabs/toughEPSS 0.3%CVE-2022-34471MEDIUMWhen downloading an update for an addon, the downloaded addon update's version was not verified to match the version selected from the manifEPSS 0.3%CVE-2026-62215MEDIUMOpenClaw < 2026.6.5 Authentication Bypass via HTTP CanvasEPSS 0.3%CVE-2026-33729MEDIUMOpenFGA has an Authorization Bypass through cached keysEPSS 0.3%CVE-2026-47155MEDIUMvLLM: Artifact Pin Decay in vLLM allows pinned deployments to load unpinned code, weights, and processorsEPSS 0.2%CVE-2026-73419MEDIUMNextAuth.js: OAuth state, nonce, and PKCE check cookies are not bound to the provider that created themEPSS 0.2%CVE-2026-115933CRITICALForged signed tokens let any registered user take over other users and organizationsEPSS 0.2%CVE-2025-0149MEDIUMZoom Apps - Insufficient Verification of Data AuthenticityEPSS 0.2%CVE-2026-54781HIGHCoreWCF: SAML SubjectConfirmation methods and holder-of-key proof keys are not enforcedEPSS 0.2%CVE-2026-53513CRITICALBetter Auth: Server-side request forgery via unvalidated OIDC endpoints on @better-auth/sso provider registrationEPSS 0.2%CVE-2025-5832MEDIUMPioneer DMH-WT7600NEX Software Update Signing Insufficient Verification of Data Authenticity VulnerabilityEPSS 0.2%