Fallos del tipo CWE-345

683 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2026-31835MEDIUMVaultwarden WebAuthn credential metadata tampered before signature verificationEPSS 0.2%CVE-2026-88982MEDIUMKubeflow Pipelines: Cross-tenant execution-cache poisoning / output substitution via a namespace-blind cache key in the cache webhook (multi-user)EPSS 0.1%CVE-2026-109365MEDIUMZebra before 6.4.0 Denial of Service via Same-Hash Forged Block BodiesEPSS 0.1%CVE-2026-46539MEDIUMnimiq-primitives: BlockInclusionProof interlink issue when hops are emptyEPSS 0.1%CVE-2026-116608MEDIUMDAMO Academy VideoLLaMA2 Model Loading __init__.py load_pretrained_model integrity checkEPSS 0.1%CVE-2026-93008MEDIUMDnsmasq: dnsmasq: out-of-bailiwick cache injection through cname chase in split-dns configurationsEPSS 0.1%CVE-2026-55174MEDIUMUltrafastSecp256k1: ECDSA adaptor verification accepts non-adaptable pre-signatures due to missing DLEQ bindingEPSS 0.1%CVE-2026-88998MEDIUMTickera < 3.6.0.4 - Unauthenticated Order Payment Bypass via 2Checkout IPNEPSS 0.1%CVE-2026-44523CRITICALNote Mark: JWT Secret Weakness allows Full Account Takeover via token forgeryEPSS 0.1%CVE-2026-56832HIGHPraisonAI DiscordApproval accepts unrelated channel messages as dangerous-tool approvalsEPSS 0.1%CVE-2026-73177HIGHNozomi Networks Labs identified a CWE-345: Insufficient Verification of Data Authenticity vulnerability in the firmware upgrade mechanism ofEPSS 0.1%CVE-2025-71057HIGHImproper session management in D-Link Wireless N 300 ADSL2+ Modem Router DSL-124 ME_1.00 allows attackers to execute a session hijacking attEPSS 0.1%CVE-2026-45055HIGHCubeCart: Pre-Authenticated Password Reset Link Poisoning via HTTP Host HeaderEPSS 0.1%CVE-2026-54288MEDIUMHono: Body Limit Middleware can be bypassed on AWS Lambda by understating `Content-Length`EPSS 0.1%CVE-2026-89050MEDIUMQuads Ads Manager for Google AdSense < 3.0.5 - Subscriber+ Ad-Selling Payment Bypass via Unverified Success Return URLEPSS 0.1%CVE-2026-12724MEDIUMKirki < 6.0.12 - Unauthenticated HTML Injection in Password Reset Email via kirki-forgot-passwordEPSS 0.1%CVE-2026-79621MEDIUMCatalogX < 6.1.3 - Unauthenticated Email Content Injection via Shared TransientEPSS 0.1%CVE-2026-104641MEDIUMSimple Shopping Cart < 5.3.3 - Unauthenticated Payment Bypass via Unverified PayPal IPN RecipientEPSS 0.1%CVE-2026-62995LOWjoserfc accepts JWT with padding, leading to JWT malleabilityEPSS 0.1%CVE-2026-7689MEDIUMDolibarr ERP CRM Online Signature security.lib.php dol_verifyHash signature verificationEPSS 0.1%