Fallos del tipo CWE-345

683 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2026-33143HIGHOneUptime: WhatsApp Webhook Missing Signature VerificationEPSS 0.2%CVE-2024-55929MEDIUMMail spoofingEPSS 0.2%CVE-2021-41203HIGHMissing validation during checkpoint loadingEPSS 0.2%CVE-2026-57122HIGHPraisonAI: Webhook signature verification skipped (fail-open) when secret unset, allowing forged inbound webhooks (WhatsApp & Linear bots)EPSS 0.2%CVE-2025-66225HIGHOrangeHRM is Vulnerable to Account Takeover Through Unvalidated Username in Password Reset WorkflowEPSS 0.2%CVE-2024-5684MEDIUMID Charger Connect & Pro - JWT-Null-AlgorithmEPSS 0.2%CVE-2026-73435HIGHSecurity Advisory 0171EPSS 0.2%CVE-2026-55663MEDIUMmediasoup: SCTP state cookie lacks cryptographic authentication, enabling unauthorized association establishment (RFC 9260 violation)EPSS 0.2%CVE-2026-68554LOWCoturn: STUN attributes after MESSAGE-INTEGRITY are processed, letting on-path attackers modify authenticated TURN requestsEPSS 0.2%CVE-2026-81702CRITICALopenssl_encrypt before 1.4.9 Key Substitution via Identity LoadEPSS 0.2%CVE-2024-25584MEDIUMDovecot accepts dot LF DOT LF symbol as end of DATA command. RFC requires that it should always be CR LF DOT CR LF. This causes Dovecot to cEPSS 0.2%CVE-2026-43534CRITICALOpenClaw < 2026.4.10 - Unsanitized External Input in Agent Hook EventsEPSS 0.2%CVE-2025-24903HIGHlibsignal-service-rs Doesn't Check Origin of Sync MessagesEPSS 0.2%CVE-2026-59357MEDIUMSelf-UAA OIDC Configuration allows JWT injection to establish unauthorized sessionsEPSS 0.2%CVE-2024-7847HIGHRSLogix™ 5 and RSLogix 500® Remote Code Execution Via VBA Embedded ScriptEPSS 0.2%CVE-2026-43835HIGHA vulnerability in the firmware upgrade functionality could allow an authenticated attacker to upload a forged firmware upgrade file, potentEPSS 0.2%CVE-2026-49331MEDIUMOpenshift/oauth-proxy: openshift/oauth-proxy: unauthenticated identity header injection on whitelisted pathsEPSS 0.2%CVE-2026-6498MEDIUMFive Star Restaurant Reservations <= 2.7.16 - Unauthenticated Payment Bypass via PHP Type Juggling in 'payment_id' ParameterEPSS 0.2%CVE-2026-24772HIGHOpenProject has SSRF and CSWSH in Hocuspocus Synchronization ServerEPSS 0.2%CVE-2026-33221LOWNhost Storage Affected by MIME Type Spoofing via Trusted Client Content-Type Header in Storage UploadEPSS 0.2%