Fallos del tipo CWE-354

151 resultados

Validação inadequada de valor de integridade

O sistema calcula ou recebe um valor de verificação de integridade (checksum, hash, assinatura) mas não valida corretamente se esse valor corresponde aos dados reais. Isso permite que um atacante modifique dados sem detecção, comprometendo a confiabilidade da informação transmitida ou armazenada.

Ejemplo

Uma API retorna um JSON com dados de usuário e inclui um MD5 dos dados para verificação. Se o código que consome a API nunca realmente compara o hash calculado com o hash recebido (ou faz a comparação de forma fraca), um intermediário pode alterar os dados e recalcular um hash falso que a validação deixa passar.

Cómo mitigar

Sempre validar que o valor de integridade recebido ou calculado corresponde exatamente aos dados verificados antes de usar esses dados. Use algoritmos criptográficos fortes (SHA-256 ou superior) e implemente a verificação em todas as camadas de processamento, não apenas em uma.

CVE-2025-55155MEDIUMMantisBT: Authentication bypass for some passwords due to PHP type jugglingEPSS 0.2%CVE-2026-93317MEDIUMContainer blob cache can accept unverified contentEPSS 0.2%CVE-2026-8720MEDIUMHMAC-BLAKE2 final discards message when key length exceeds block sizeEPSS 0.2%CVE-2026-32313HIGHxmlseclibs is Missing AES-GCM Authentication Tag Validation on Encrypted Nodes Allows for Unauthorized DecryptionEPSS 0.2%CVE-2026-85515HIGHOpenPGP message truncation not reported, bypassing the SEIPDv1 integrity checkEPSS 0.2%CVE-2026-109366MEDIUMZebra before 6.4.0 Gossiped Block Drop via Forged Coinbase scriptSig HeightEPSS 0.2%CVE-2022-39844MEDIUMImproper validation of integrity check vulnerability in Smart Switch PC prior to version 4.3.22083 allows local attackers to delete arbitrarEPSS 0.2%CVE-2026-25934MEDIUMgo-git improperly verifies data integrity values for .idx and .pack filesEPSS 0.2%CVE-2026-102759MEDIUMNetX Secure TLS accepts an empty application-data record without verifying its message authentication code. In `_nx_secure_verify_mac`, a deEPSS 0.2%CVE-2026-95625MEDIUMTauri framework v2 missing updater signature version number validation can be exploited into forced downgradeEPSS 0.2%CVE-2023-42143MEDIUMMissing Integrity Check in Shelly TRV 20220811-152343/v2.1.8@5afc928c allows malicious users to create a backdoor by redirecting the device EPSS 0.2%CVE-2026-54174HIGHmelange: Incomplete package integrity verification allows data section substitutionEPSS 0.2%CVE-2020-9210MEDIUMThere is an insufficient integrity vulnerability in Huawei products. A module does not perform sufficient integrity check in a specific scenEPSS 0.2%CVE-2026-16001HIGHIesEngine stream-mode MAC forgery via length-dependent KDF splitEPSS 0.2%CVE-2026-32600HIGHxml-security is Missing AES-GCM Authentication Tag Validation on Encrypted Nodes Allows for Unauthorized DecryptionEPSS 0.2%CVE-2026-115906MEDIUMzip: AES Entry HMAC Authentication Bypass on Premature EOFEPSS 0.2%CVE-2026-116608MEDIUMDAMO Academy VideoLLaMA2 Model Loading __init__.py load_pretrained_model integrity checkEPSS 0.1%CVE-2022-33711—Improper validation of integrity check vulnerability in Samsung USB Driver Windows Installer for Mobile Phones prior to version 1.7.56.0 allEPSS 0.1%CVE-2026-13385CRITICALAn Improper Validation of Integrity Check Value and Improper Certificate Validation in certain ASUS router models allows a remote man-in-theEPSS 0.1%CVE-2026-31839HIGHStriae has a hash validation utility vulnerabilityEPSS 0.1%