Fallos del tipo CWE-345

676 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2021-32665HIGHVerified groups not reliableEPSS 0.5%CVE-2021-4031HIGHSyltek Insufficient Verification of Data AuthenticityEPSS 0.5%CVE-2026-71965HIGHCyberPanel 2.4.3 Authenticated RCE via Remote Backup FeatureEPSS 0.5%CVE-2025-48865CRITICALFabio allows HTTP clients to manipulate custom headers it addsEPSS 0.5%CVE-2023-42816MEDIUMDenial of service from malicious signature in kyvernoEPSS 0.5%CVE-2023-27360HIGHNETGEAR RAX30 lighttpd Misconfiguration Remote Code Execution VulnerabilityEPSS 0.4%CVE-2025-12295HIGHD-Link DAP-2695 Firmware Update sub_40C6B8 signature verificationEPSS 0.4%CVE-2023-47631HIGHvantage6 Node accepts non-whitelisted algorithms from malicious serverEPSS 0.4%CVE-2026-27510MEDIUMUnitree Go2 Mobile Program Tampering Enables Root RCEEPSS 0.4%CVE-2026-62869HIGHAzure Entra ID Spoofing VulnerabilityEPSS 0.4%CVE-2021-24825—Custom Content Shortcode < 4.0.2 - Authenticated Arbitrary File Access / LFIEPSS 0.4%CVE-2023-42782MEDIUMA insufficient verification of data authenticity vulnerability [CWE-345] in FortiAnalyzer version 7.4.0 and below 7.2.3 allows a remote unauEPSS 0.4%CVE-2024-11666CRITICALUnauthenticated Remote Command Injection in eCharge Salia PLCCEPSS 0.4%CVE-2021-41087MEDIUMImproperly Implemented path matching for in-toto-golangEPSS 0.4%CVE-2022-31877HIGHAn issue in the component MSI.TerminalServer.exe of MSI Center v1.0.41.0 allows attackers to escalate privileges via a crafted TCP packet.EPSS 0.4%CVE-2022-36111MEDIUMimmundb has insufficient verification of data authenticityEPSS 0.4%CVE-2023-5366HIGHOpenvswitch don't match packets on nd_target fieldEPSS 0.4%CVE-2025-27735MEDIUMWindows Virtualization-Based Security (VBS) Security Feature Bypass VulnerabilityEPSS 0.4%CVE-2026-85434CRITICALMOOS-IvP through 24.8.1 uFldShoreBroker Bridge Route Injection via Unverified Node PingEPSS 0.4%CVE-2026-85435CRITICALMOOS-IvP through 24.8.1 uFldNodeBroker Unauthenticated Shore Route EnrollmentEPSS 0.4%