Fallos del tipo CWE-345

557 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2026-85621MEDIUMLobeChat 2.2.1 Webhook Signature Verification Bypass QQ FeishuEPSS 0.2%CVE-2026-12501MEDIUMWP Travel Engine < 6.8.2 - Unauthenticated Payment Bypass via Missing PayPal IPN Receiver and Amount VerificationEPSS 0.2%CVE-2026-62517MEDIUMVulnerability in the Oracle Production Scheduling product of Oracle E-Business Suite (component: Internal Operations). Supported versions tEPSS 0.2%CVE-2026-13188MEDIUMDialogHandler Parameters Tampering Vulnerability in Telerik UI for ASP.NET AJAXEPSS 0.2%CVE-2026-4984HIGHBotpress - Credential Disclosure via Twilio Webhook HandlerEPSS 0.2%CVE-2026-12383HIGHEda-server: externaleventstreamviewset trusts subject header without validation and leaks expected dnEPSS 0.2%CVE-2026-74890CRITICALopenssl_encrypt before 1.4.0 HMAC Authentication Bypass via Environment VariableEPSS 0.2%CVE-2026-45057MEDIUMmatrix-sdk-ui: Incomplete edit validationEPSS 0.2%CVE-2026-35042HIGHfast-jwt accepts unknown `crit` header extensions (RFC 7515 §4.1.11 MUST violation)EPSS 0.2%CVE-2023-32329MEDIUMIBM Security Access Manager Container improper file validationEPSS 0.2%CVE-2026-2385MEDIUMThe Plus Addons for Elementor – Addons for Elementor, Page Templates, Widgets, Mega Menu, WooCommerce <= 6.4.7 - Unauthenticated Email RelayEPSS 0.2%CVE-2026-89251HIGHAVideo Missing Authorization via AD_Server log.php Wallet CreditEPSS 0.2%CVE-2022-39909HIGHInsufficient verification of data authenticity vulnerability in Samsung Gear IconX PC Manager prior to version 2.1.221019.51 allows local atEPSS 0.2%CVE-2026-55663MEDIUMmediasoup: SCTP state cookie lacks cryptographic authentication, enabling unauthorized association establishment (RFC 9260 violation)EPSS 0.2%CVE-2025-53548HIGH@clerk/backend Performs Insufficient Verification of Data AuthenticityEPSS 0.2%CVE-2026-42206MEDIUMRoadiz OpenID Connect nonce generated but never validated — ID token replay attackEPSS 0.2%CVE-2025-0092MEDIUMIn handleBondStateChanged of AdapterService.java, there is a possible permission bypass due to misleading or insufficient UI. This could leaEPSS 0.2%CVE-2026-31835MEDIUMVaultwarden WebAuthn credential metadata tampered before signature verificationEPSS 0.2%CVE-2026-44999MEDIUMOpenClaw < 2026.4.20 - Improper Trust Labeling in Isolated Cron Awareness EventsEPSS 0.2%CVE-2026-82017HIGHIGEL OS 12 / 11 Boot Registry Parameter Injection via Unsigned Configuration AreaEPSS 0.2%