Falhas do tipo CWE-345

676 resultados

Verificação insuficiente de autenticidade de dados

A aplicação recebe dados de fontes externas (rede, arquivo, entrada do usuário) mas não valida adequadamente se eles realmente vieram de quem diz vir ou se não foram alterados no caminho. Isso permite que um atacante forje, intercepte ou modifique dados sem que o sistema detecte, comprometendo integridade e confiança.

Exemplo

Um serviço REST que confia cegamente em um campo 'user_id' vindo do cliente, sem verificar assinatura ou token, permitindo que alguém mude a URL para acessar dados de outro usuário. Ou um arquivo de configuração lido sem validar sua hash, permitindo execução de código malicioso se o arquivo for corrompido.

Como mitigar

Use mecanismos criptográficos de autenticação (HMAC, assinatura digital, certificados TLS) para garantir a origem e integridade dos dados. No lado do servidor, nunca confie em identificadores ou claims do cliente — valide contra seu próprio estado autorizado (sessão, JWT assinado, etc).

CVE-2021-32665HIGHVerified groups not reliableEPSS 0.5%CVE-2021-4031HIGHSyltek Insufficient Verification of Data AuthenticityEPSS 0.5%CVE-2026-71965HIGHCyberPanel 2.4.3 Authenticated RCE via Remote Backup FeatureEPSS 0.5%CVE-2025-48865CRITICALFabio allows HTTP clients to manipulate custom headers it addsEPSS 0.5%CVE-2023-42816MEDIUMDenial of service from malicious signature in kyvernoEPSS 0.5%CVE-2023-27360HIGHNETGEAR RAX30 lighttpd Misconfiguration Remote Code Execution VulnerabilityEPSS 0.4%CVE-2025-12295HIGHD-Link DAP-2695 Firmware Update sub_40C6B8 signature verificationEPSS 0.4%CVE-2023-47631HIGHvantage6 Node accepts non-whitelisted algorithms from malicious serverEPSS 0.4%CVE-2026-27510MEDIUMUnitree Go2 Mobile Program Tampering Enables Root RCEEPSS 0.4%CVE-2026-62869HIGHAzure Entra ID Spoofing VulnerabilityEPSS 0.4%CVE-2021-24825—Custom Content Shortcode < 4.0.2 - Authenticated Arbitrary File Access / LFIEPSS 0.4%CVE-2023-42782MEDIUMA insufficient verification of data authenticity vulnerability [CWE-345] in FortiAnalyzer version 7.4.0 and below 7.2.3 allows a remote unauEPSS 0.4%CVE-2024-11666CRITICALUnauthenticated Remote Command Injection in eCharge Salia PLCCEPSS 0.4%CVE-2021-41087MEDIUMImproperly Implemented path matching for in-toto-golangEPSS 0.4%CVE-2022-31877HIGHAn issue in the component MSI.TerminalServer.exe of MSI Center v1.0.41.0 allows attackers to escalate privileges via a crafted TCP packet.EPSS 0.4%CVE-2022-36111MEDIUMimmundb has insufficient verification of data authenticityEPSS 0.4%CVE-2023-5366HIGHOpenvswitch don't match packets on nd_target fieldEPSS 0.4%CVE-2025-27735MEDIUMWindows Virtualization-Based Security (VBS) Security Feature Bypass VulnerabilityEPSS 0.4%CVE-2026-85434CRITICALMOOS-IvP through 24.8.1 uFldShoreBroker Bridge Route Injection via Unverified Node PingEPSS 0.4%CVE-2026-85435CRITICALMOOS-IvP through 24.8.1 uFldNodeBroker Unauthenticated Shore Route EnrollmentEPSS 0.4%