Fallos del tipo CWE-345

683 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2025-59323HIGHCPSD CryptoPro Secure Disk for Bitlocker before v7.7.4 fails to validate the integrity of the DataStore, a non-partitioned filesystem, respoEPSS 0.1%CVE-2022-22567MEDIUMSelect Dell Client Commercial and Consumer platforms are vulnerable to an insufficient verification of data authenticity vulnerability. An aEPSS 0.1%CVE-2026-18044LOWEstatik Real Estate Plugin < 4.3.4 - Unauthenticated Arbitrary-Recipient Mail Relay via Signed-Value MismatchEPSS 0.1%CVE-2026-91017LOWRobokassa payment gateway for Woocommerce < 1.8.9 - Unauthenticated Payment Bypass via Forged JWT CallbackEPSS 0.1%CVE-2026-32294HIGHJetKVM insufficient firmware verificationEPSS 0.1%CVE-2026-104642LOWSimple Shopping Cart 5.1.3 - 5.3.2 - Contributor+ Price Manipulation via Price Verification BypassEPSS 0.1%CVE-2026-85288MEDIUMNotepad++: Shortcuts.xml macro HMAC bypass still reachable via the "Run a Macro Multiple Times" dialogEPSS 0.1%CVE-2026-13257MEDIUMIBM DataPower Gateway Insufficient Verification of Data AuthenticityEPSS 0.1%CVE-2025-66621—Apache James: SASL OAUTHBEARER do not validate aud in JWT payload if misconfigredEPSS 0.1%CVE-2023-36858HIGHBIG-IP Edge Client for Windows and macOS vulnerabilityEPSS 0.1%CVE-2025-52638MEDIUMMultiple security vulnerabilities affect HCL AIONEPSS 0.1%CVE-2026-123591HIGHHickory DNS 0.26.0-beta.1 before 0.26.2 DNSSEC Validation Bypass via Missing RFC 6840 ChecksEPSS 0.1%CVE-2026-50248MEDIUMBOGUS configured primary hostname accepted for XFR in auth/rpz zonesEPSS 0.1%CVE-2026-101278MEDIUMTrusted Domain Project OpenDMARC PSL Wildcard opendmarc_tld.c : opendmarc_get_tld origin validationEPSS 0.1%CVE-2026-104381MEDIUMFireware OS Missing Authentication in FireCluster State Sync Allows BOVPN Tunnel Denial of ServiceEPSS 0.1%CVE-2026-108568MEDIUMInstantSoft icms2 Billing paypal.php validatePaypalOrder data authenticityEPSS 0.1%CVE-2026-40109LOWFlux notification-controller GCR Receiver missing email validation allows unauthorized reconciliation triggeringEPSS 0.1%CVE-2026-39411MEDIUMLobeHub has an unauthenticated authentication bypass on `webapi` routes via forgeable `X-lobe-chat-auth` headerEPSS 0.1%CVE-2024-39805HIGHInsufficient verification of data authenticity in some Intel(R) DSA software before version 23.4.39 may allow an authenticated user to potenEPSS 0.1%CVE-2026-82212HIGHNexi XPay Build <= 7.6.2 - Unauthenticated Payment Bypass via NPG Notification HandlerEPSS 0.1%