Fallos del tipo CWE-345

683 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2026-47123HIGHFreeScout: Agent Impersonation via Missing HMAC Verification on Notification Reply Message-ID PathEPSS 0.1%CVE-2026-103301MEDIUMPayment Gateway for Telcell < 2.0.5 - Unauthenticated Payment Confirmation Forgery via Empty-Default Merchant SecretEPSS 0.1%CVE-2026-48816MEDIUMsigstore-js: Insufficient Verification of Data AuthenticityEPSS 0.1%CVE-2025-12080MEDIUMIntent Abuse in Google Messages for Wear OS for Silent Message SendingEPSS 0.1%CVE-2026-82844MEDIUMWPForms Lite 1.10.0.1 - 2.0.2.1 - Unauthenticated Payment Bypass via PayPal CommerceEPSS 0.1%CVE-2025-7884MEDIUMEluktronics Control Center REG File data authenticityEPSS 0.1%CVE-2026-110952MEDIUMApache Kafka: Broker does not enforce JWT issuer and audience validation for SASL/OAUTHBEARER by defaultEPSS 0.1%CVE-2026-63115MEDIUMActivityPub Undo handler can unfollow or remove reposts on behalf of other accountsEPSS 0.1%CVE-2026-105161MEDIUMinvariant-systems-ai aiir Policy Gate signature verificationEPSS 0.1%CVE-2026-85641MEDIUMFormidable Forms 6.34 - Unauthenticated Stored Content Injection via 'updated_by' ParameterEPSS 0.1%CVE-2026-15246MEDIUMRealHomes Memberships < 3.1.0 - Subscriber+ Membership Payment BypassEPSS 0.1%CVE-2026-49483HIGHCode for IBMi: Uses IBM i components with blind check allowing arbitrary code executionEPSS 0.1%CVE-2025-56438MEDIUMAn issue in the firmware update mechanism of Nous W3 Smart WiFi Camera v1.33.50.82 allows unauthenticated and physically proximate attackersEPSS 0.1%CVE-2026-102140MEDIUMKiteworks Core Insufficient Verification of Data AuthenticityEPSS 0.1%CVE-2026-105256MEDIUMLatePoint < 5.7.5 - Unauthenticated Payment Bypass via 'payment_portion' ParameterEPSS 0.1%CVE-2026-39969MEDIUMTypeBot: WhatsApp Webhook Endpoint Missing Signature VerificationEPSS 0.1%CVE-2026-112939MEDIUMfilelock: SoftFileLock removes a live holder's marker when another user forges the PID in a writable markerEPSS 0.1%CVE-2025-23415LOWBIG-IP APM Endpoint Inspection vulnerabilityEPSS 0.1%CVE-2026-103308MEDIUMVisma Pay for WooCommerce < 1.2.2 - Unauthenticated Payment Bypass and Order Data Disclosure via Gateway Return EndpointEPSS 0.1%CVE-2025-59323HIGHCPSD CryptoPro Secure Disk for Bitlocker before v7.7.4 fails to validate the integrity of the DataStore, a non-partitioned filesystem, respoEPSS 0.1%