Fallos del tipo CWE-345

676 resultados

Verificação insuficiente de autenticidade de dados

É quando o software aceita dados sem validar adequadamente se vieram de uma fonte legítima e confiável. O sistema confia em informações (mensagens, arquivos, requisições) sem confirmar sua origem ou integridade, permitindo que um atacante forje, modifique ou injete dados maliciosos que serão processados como se fossem legítimos.

Ejemplo

Um serviço aceita atualizações de configuração via JSON sem verificar assinatura digital ou token HMAC. Um atacante intercepta a requisição e modifica o payload para redirecionar logs para um servidor controlado por ele — e o serviço aplica a mudança porque 'recebeu um JSON válido'.

Cómo mitigar

Implemente autenticação criptográfica de dados: use assinatura digital (HMAC, RSA, ECDSA) ou tokens com validade (JWT com chave secreta), valide sempre a origem da mensagem antes de processar, e recuse dados sem prova de autenticidade. Não confie apenas em formato válido ou canal de transporte — valide origem e integridade.

CVE-2018-10626MEDIUMMedtronic MyCareLink 24950 Patient Monitor Insufficient Verification of Data AuthenticityEPSS 0.4%CVE-2019-16007MEDIUMCisco AnyConnect Secure Mobility Client for Android Service Hijack VulnerabilityEPSS 0.4%CVE-2023-41045LOWInsecure source port usage for DNS queries in GraylogEPSS 0.4%CVE-2018-10894MEDIUMIt was found that SAML authentication in Keycloak 3.4.3.Final incorrectly authenticated expired certificates. A malicious user could use thiEPSS 0.4%CVE-2026-85429HIGHMOOS-IvP through 24.8.1 uFldNodeComms Node Message Source SpoofingEPSS 0.4%CVE-2023-28863CRITICALAMI MegaRAC SPx12 and SPx13 devices have Insufficient Verification of Data Authenticity.EPSS 0.4%CVE-2025-66570CRITICALcpp-httplib Untrusted HTTP Header Handling: Internal Header Shadowing (REMOTE*/LOCAL*)EPSS 0.3%CVE-2022-27513HIGHRemote desktop takeover via phishingEPSS 0.3%CVE-2026-23656MEDIUMWindows App Installer Spoofing VulnerabilityEPSS 0.3%CVE-2026-73840MEDIUMOpenChoreo: Unauthenticated build/workflow trigger via git-provider confusion (webhook signature bypass)EPSS 0.3%CVE-2026-53561HIGHApache Hive: Unauthenticated authentication bypass in HiveServer2 HTTP SAML bearer-token validation allows impersonation of any Hive userEPSS 0.3%CVE-2026-9242MEDIUMRegistrationMagic <= 6.0.8.6 - Authenticated (Subscriber+) Authentication Bypass via Forged PayPal IPN RequestEPSS 0.3%CVE-2026-30798HIGHRustDesk Client Accepts Unauthenticated stop-service Command via Strategy PayloadEPSS 0.3%CVE-2021-21588MEDIUMDell EMC PowerFlex, v3.5.x contain a Cross-Site WebSocket Hijacking Vulnerability in the Presentation Server/WebUI. An unauthenticated attacEPSS 0.3%CVE-2026-89238CRITICALApache WSS4J: WSS4J EncryptedHeader child confusion causing wrong protected-header selectionEPSS 0.3%CVE-2026-30223HIGHOliveTin: JWT Audience Validation Bypass in Local Key and HMAC ModesEPSS 0.3%CVE-2022-26516HIGHICSA-22-104-03 Red Lion DA50NEPSS 0.3%CVE-2025-9379HIGHBelkin AX1800 Firmware Update data authenticityEPSS 0.3%CVE-2025-1944MEDIUMpicklescan ZIP archive manipulation attack leads to crashEPSS 0.3%CVE-2025-12999CRITICALUrlUtil.getBaseUrl builds the absolute URLs in a response — download links, icons, asset and API URLs — from the X-Forwarded-Host, X-ForwardEPSS 0.3%