Fallos del tipo CWE-345

683 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2026-104108HIGHFileRise OIDC login can bind an attacker identity to an existing local accountEPSS 0.2%CVE-2026-48799HIGHPostiz: Unauthenticated arbitrary lifetime PRO grant via Nowpayments webhookEPSS 0.2%CVE-2026-19061MEDIUMInsta InstaKNXServiceApp Firmware Update CreateWebClientAndDownloadFileList data authenticityEPSS 0.2%CVE-2026-54581HIGHmport bootstrap index fetch can continue after hash verification failureEPSS 0.2%CVE-2026-82813MEDIUMBEN Group TubeBuddy for YouTube Extension tubebuddymaster1.js TBGlobal.GetToken data authenticityEPSS 0.2%CVE-2026-82811MEDIUMToggl OÜ Toggl Track Extension postMessage origin validationEPSS 0.2%CVE-2026-33471CRITICALnimiq-block has skip block quorum bypass via out-of-range BitSet indices & u16 truncationEPSS 0.2%CVE-2026-6986MEDIUMCesanta Mongoose GCM Authentication Tag tls_aes128.c mg_aes_gcm_decrypt signature verificationEPSS 0.2%CVE-2026-35039CRITICALfast-jwt Affected by Cache Confusion via cacheKeyBuilder Collisions Can Return Claims From a Different Token (Identity/Authorization Mixup)EPSS 0.2%CVE-2026-104805HIGHMitel MiVoice Office 400 Backup Restoration Arbitrary File Write Leading to Root Code ExecutionEPSS 0.2%CVE-2022-41156HIGHOndiskPlayer Remote Code Execution VulnerabilityEPSS 0.2%CVE-2026-10599HIGHIntegrate PhonePe with WooCommerce <= 1.2.1 - Unauthenticated Payment Bypass via Transaction ID ReuseEPSS 0.2%CVE-2026-45337HIGHBetter Auth: Device authorization approve and deny accept any authenticated session while the user code is pendingEPSS 0.2%CVE-2026-82017HIGHIGEL OS 12 / 11 Boot Registry Parameter Injection via Unsigned Configuration AreaEPSS 0.2%CVE-2024-47867LOWLack of integrity check on the downloaded FRP client in GradioEPSS 0.2%CVE-2026-74890CRITICALopenssl_encrypt before 1.4.0 HMAC Authentication Bypass via Environment VariableEPSS 0.2%CVE-2024-40644MEDIUMgitoxide's gix-path can use a fake program files locationEPSS 0.2%CVE-2023-28457HIGHAn issue was discovered in Technitium through 11.0.3. It enables attackers to conduct a DNS cache poisoning attack and inject fake responsesEPSS 0.2%CVE-2025-1108HIGHInsufficient data authenticity vulnerability in JantoEPSS 0.2%CVE-2026-88592CRITICALkkFileView >= 4.2.0 is vulnerable to Server-Side Request Forgery (SSRF). The cross-origin file proxy endpoint /getCorsFile is protected by TEPSS 0.2%