Falhas do tipo CWE-345

683 resultados

Verificação insuficiente de autenticidade de dados

A aplicação recebe dados de fontes externas (rede, arquivo, entrada do usuário) mas não valida adequadamente se eles realmente vieram de quem diz vir ou se não foram alterados no caminho. Isso permite que um atacante forje, intercepte ou modifique dados sem que o sistema detecte, comprometendo integridade e confiança.

Exemplo

Um serviço REST que confia cegamente em um campo 'user_id' vindo do cliente, sem verificar assinatura ou token, permitindo que alguém mude a URL para acessar dados de outro usuário. Ou um arquivo de configuração lido sem validar sua hash, permitindo execução de código malicioso se o arquivo for corrompido.

Como mitigar

Use mecanismos criptográficos de autenticação (HMAC, assinatura digital, certificados TLS) para garantir a origem e integridade dos dados. No lado do servidor, nunca confie em identificadores ou claims do cliente — valide contra seu próprio estado autorizado (sessão, JWT assinado, etc).

CVE-2026-19410CRITICALGoogle Cloud Build Comment Control Bypass via Webhook SuppressionEPSS 0.2%CVE-2026-107852HIGHJexactyl: Stripe checkout confirmation accepts mismatched-currency/amount payments as full payment (payment forgery)EPSS 0.2%CVE-2026-103402HIGHSession Smart Router and Session Smart Conductor: Lack of integrity verification in cache files causes arbitrary code execution and privilege escalationEPSS 0.2%CVE-2026-76894LOWCKAN MCP Server: DataStore Table UI resource does not validate postMessage origin (in) and posts to targetOrigin "*" (out)EPSS 0.2%CVE-2026-82462MEDIUMpac4j-oidc before 6.5.6 Authentication Bypass via Access Token SubstitutionEPSS 0.2%CVE-2026-63127HIGHRMCP: Missing Resource Field Validation in OAuth Protected Resource Metadata DiscoveryEPSS 0.2%CVE-2026-34061MEDIUMnimiq/core-rs-albatross: Macro block proposal interlink bugEPSS 0.2%CVE-2026-40323HIGHSP1 V6 Recursion Circuit Row-Count Binding GapEPSS 0.2%CVE-2024-47079MEDIUMUnauthorized usage of remote hardware module because of missing channel verificationEPSS 0.2%CVE-2026-73846MEDIUMCKAN MCP Server: Cache-key canonicalization collision enables cache confusion / poisoningEPSS 0.2%CVE-2026-10079HIGHStackrox: stackrox: deploy-time policy enforcement and visibility bypass via label injectionEPSS 0.2%CVE-2026-81630CRITICALBotslab G980H Dashcams Insufficient Verification of Data AuthenticityEPSS 0.2%CVE-2023-49087MEDIUMValidation of SignedInfoEPSS 0.2%CVE-2026-86038HIGHlibp2p: Gossipsub StrictSign accepts attacker-signed messages as a victim RSA peer IDEPSS 0.2%CVE-2026-54783HIGHCoreWCF: XML Signature Wrapping in WS-Security endorsing/supporting signature verification allows replay of captured signed messagesEPSS 0.2%CVE-2026-15615HIGHSAML <Conditions> element not validatedEPSS 0.2%CVE-2024-33687HIGHInsufficient verification of data authenticity issue exists in NJ Series CPU Unit all versions and NX Series CPU Unit all versions. If a useEPSS 0.2%CVE-2026-59930MEDIUMMistune toc / TableOfContents directive: heading IDs use predictable `toc_N` numbering with no slugification, allowing collision with attacker-controlled `id="toc_N"` contentEPSS 0.2%CVE-2026-16516CRITICALwolfSSH ECDSA host key curve not validated against negotiated algorithmEPSS 0.2%CVE-2023-3028HIGHImproper backend communication allows access and manipulation of the telemetry dataEPSS 0.2%