Fallos del tipo CWE-345

683 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2026-52812HIGHGogs: LFS dedupe path leaks private repo content across tenantsEPSS 0.2%CVE-2020-13178—A function in the Teradici PCoIP Standard Agent for Windows and Graphics Agent for Windows prior to version 20.04.1 does not properly validaEPSS 0.2%CVE-2026-102682MEDIUMPipecat: Public exposure of Pipecat’s development runner can allow unauthenticated bot session creationEPSS 0.2%CVE-2026-7606MEDIUMTRENDnet TEW-821DAP Firmware Update new_gui_update_firmware data authenticityEPSS 0.2%CVE-2026-45058CRITICALelecterm: Import unsafe bookmark data could lead to unsafe operation when click local type bookmarkEPSS 0.2%CVE-2026-7611MEDIUMTRENDnet TEW-821DAP Firmware Update cameo_dev.sh platform_do_upgrade_cameo_dev data authenticityEPSS 0.2%CVE-2026-45057MEDIUMmatrix-sdk-ui: Incomplete edit validationEPSS 0.2%CVE-2026-25474HIGHOpenClaw has a Telegram webhook request forgery (missing `channels.telegram.webhookSecret`) → auth bypassEPSS 0.2%CVE-2026-23966CRITICALsm-crypto Affected by Private Key Recovery in SM2-PKEEPSS 0.2%CVE-2022-46370HIGHRumpus - FTP server Improper Token Verification EPSS 0.2%CVE-2026-33233HIGHAutoGPT Platform: Remote Code Execution via Unsafe Pickle Deserialization of Redis Cache EntriesEPSS 0.2%CVE-2026-30920HIGHOneUptime has broken access control in GitHub App installation flow that allows unauthorized project bindingEPSS 0.2%CVE-2025-15385CRITICALInsufficient Verification of Data Authenticity vulnerability in TECNO Mobile com.Afmobi.Boomplayer allows Authentication Bypass.This issue aEPSS 0.2%CVE-2026-56073CRITICALCap-go - OTP Bypass via Response Manipulation in Email VerificationEPSS 0.2%CVE-2025-2346MEDIUMIROAD Dash Cam X5/Dash Cam X6 Domain origin validationEPSS 0.2%CVE-2021-34572MEDIUMInsufficient Verification of Data Authenticity in Enbra EWM (replay attack)EPSS 0.2%CVE-2025-34337HIGHeGovFramework <= 4.3.1 Unauthenticated Encryption Oracle via Web Editor Image Upload EndpointsEPSS 0.2%CVE-2026-67307HIGHWazuh before 5.0.0-beta3 Cluster Attribution Spoofing via Inventory SyncEPSS 0.2%CVE-2026-19941MEDIUMcheckwildcard() accepts an out-of-zone NSEC as a wildcard-nonexistence proofEPSS 0.2%CVE-2026-108971CRITICALD-Link DCS-930L Emergency HTTP Recovery Server bootloader_region.bin mpfd_decode signature verificationEPSS 0.2%