Fallos del tipo CWE-345

676 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2025-5832MEDIUMPioneer DMH-WT7600NEX Software Update Signing Insufficient Verification of Data Authenticity VulnerabilityEPSS 0.2%CVE-2024-12369MEDIUMElytron-oidc-client: oidc authorization code injectionEPSS 0.2%CVE-2025-14444MEDIUMRegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login <= 6.0.6.9 - Unauthenticated Payment Bypass via rm_process_paypal_sdk_paymentEPSS 0.2%CVE-2026-105741HIGHLangflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration WriteEPSS 0.2%CVE-2022-31598—Due to insufficient input validation, SAP Business Objects - version 420, allows an authenticated attacker to submit a malicious request thrEPSS 0.2%CVE-2026-15612CRITICALLOIDC nonce validation bypassEPSS 0.2%CVE-2025-59160LOWmatrix-js-sdk has insufficient validation when considering a room to be upgraded by anotherEPSS 0.2%CVE-2023-27977MEDIUMA CWE-345: Insufficient Verification of Data Authenticity vulnerability exists in the Data Server that could cause access to delete files inEPSS 0.2%CVE-2026-49212MEDIUMSymfony UX: LiveComponentHydrator HMAC checksum lacks component and slot bindingEPSS 0.2%CVE-2023-27979MEDIUMA CWE-345: Insufficient Verification of Data Authenticity vulnerability exists in the Data Server that could allow the renaming of files in EPSS 0.2%CVE-2026-72817MEDIUMgo-chi chi 0.9.0 before 5.3.0 IP Spoofing via X-Forwarded-ForEPSS 0.2%CVE-2026-121606CRITICALQihoo 360 D621-2/D603-2/D600-2/D619/D606-6/D706 Firmware Signature Verification iscm verify_sign signature verificationEPSS 0.2%CVE-2024-58267HIGHRancher CLI SAML authentication is vulnerable to phishing attacksEPSS 0.2%CVE-2024-28251MEDIUMCross-site websocket hijacking in QuerybookEPSS 0.2%CVE-2026-54763HIGHTraefik: headerField underscore-variant identity spoofing in BasicAuth / DigestAuth / ForwardAuthEPSS 0.2%CVE-2026-76245HIGHstigmem Federation Peer Token Timestamp Validation BypassEPSS 0.2%CVE-2026-119422HIGHHyperswitch before 1.128.0 Webhook Authentication Bypass via Worldpayxml ConnectorEPSS 0.2%CVE-2026-53536MEDIUMActivepieces: Cross-tenant file download via missing JWT audience check on step-files signed URLEPSS 0.2%CVE-2026-52812HIGHGogs: LFS dedupe path leaks private repo content across tenantsEPSS 0.2%CVE-2026-102831HIGHJupyterLab: Cross-site scripting (XSS) in JupyterLab via notebook cells pasted from the system clipboardEPSS 0.2%