Fallos del tipo CWE-345

555 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2025-66570CRITICALcpp-httplib Untrusted HTTP Header Handling: Internal Header Shadowing (REMOTE*/LOCAL*)EPSS 0.3%CVE-2022-26516HIGHICSA-22-104-03 Red Lion DA50NEPSS 0.3%CVE-2023-6323MEDIUMThroughTek Kalay SDK insufficient verification of message authenticityEPSS 0.3%CVE-2023-6236HIGHEap: oidc app attempting to access the second tenant, the user should be prompted to logEPSS 0.3%CVE-2026-25921CRITICALGogs: Cross-repository LFS object overwrite via missing content hash verificationEPSS 0.3%CVE-2025-49199HIGHBackup files can be modified and uploadedEPSS 0.3%CVE-2023-4589CRITICALInsufficient verification of data authenticity vulnerability in Delinea Secret ServerEPSS 0.3%CVE-2025-1944MEDIUMpicklescan ZIP archive manipulation attack leads to crashEPSS 0.3%CVE-2026-28500HIGHONNX Untrusted Model Repository Warnings Suppressed by silent=True in onnx.hub.load() — Silent Supply-Chain AttackEPSS 0.3%CVE-2026-62874CRITICALAzure Billing Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2025-9379HIGHBelkin AX1800 Firmware Update data authenticityEPSS 0.3%CVE-2026-54496CRITICALMissing copy constraint in halo2_gadgets variable-base scalar multiplication allows under-constrained base, breaking Orchard Action circuit soundnessEPSS 0.3%CVE-2025-27680CRITICALVasion Print (formerly PrinterLogic) before Virtual Appliance Host 1.0.750 Application 20.0.1442 allows Insecure Firmware Image with InsuffiEPSS 0.3%CVE-2021-4122—It was found that a specially crafted LUKS header could trick cryptsetup into disabling encryption during the recovery of the device. An attEPSS 0.3%CVE-2023-42782MEDIUMA insufficient verification of data authenticity vulnerability [CWE-345] in FortiAnalyzer version 7.4.0 and below 7.2.3 allows a remote unauEPSS 0.3%CVE-2024-30250HIGHIn Astro-Shield, setting a correct `integrity` attribute to injected code allows to bypass the allow-listsEPSS 0.3%CVE-2022-3703HIGHETIC Telecom Remote Access Server Insufficient Verification of Data AuthenticityEPSS 0.3%CVE-2023-48238HIGHJWT Algorithm Confusion in json-web-token libraryEPSS 0.3%CVE-2017-20180MEDIUMZerocoin libzerocoin Proof CoinSpend.cpp CoinSpend data authenticityEPSS 0.3%CVE-2026-45674HIGHNetty Vulnerable to DNS Cache Poisoning via Missing Bailiwick Checks in CNAME RecordsEPSS 0.3%