Falhas do tipo CWE-354

151 resultados

Validação inadequada de valor de verificação de integridade

É quando o código não valida corretamente (ou não valida de jeito nenhum) checksums, hashes ou assinaturas criptográficas que devem garantir que dados não foram modificados. Sem essa validação, um atacante consegue alterar dados em trânsito ou em repouso sem ser detectado.

Exemplo

Um sistema baixa um arquivo com um hash SHA-256 fornecido pelo servidor, mas calcula o hash local de forma errada, compara apenas os primeiros 8 caracteres em vez dos 64, ou sequer verifica se o resultado bate. O atacante altera o arquivo durante o download e ninguém percebe.

Como mitigar

Sempre calcular o hash/checksum completo do dado recebido e comparar byte-a-byte com o valor esperado. Use funções criptográficas estabelecidas (SHA-256 ou superior), nunca invente sua própria lógica de validação, e lance exceção se a verificação falhar. Para dados críticos, considere assinatura criptográfica em vez de apenas hash.

CVE-2023-28802MEDIUMDisable Zscaler using machine tunnel restartEPSS 0.2%CVE-2024-47089HIGHUnauthorized Transaction Manipulation VulnerabilityEPSS 0.2%CVE-2026-28402HIGHnimiq/core-rs-albatross's nimiq-blockchain missing proposal body root verificationEPSS 0.2%CVE-2024-45789MEDIUMParameter Tampering VulnerabilityEPSS 0.2%CVE-2026-15999HIGHAES-CCM decryption accepts zero or out-of-range tag length, bypassing authenticationEPSS 0.2%CVE-2026-92701CRITICALCocos AI: Intra-handshake attested TLS implementation is vulnerable to session-misbinding attacks for Intel TDX verifier pathEPSS 0.2%CVE-2026-85747MEDIUMDistribution: Client `manifests.Get()` does not verify returned content against requested digestEPSS 0.2%CVE-2024-47573MEDIUMAn improper validation of integrity check value vulnerability [CWE-354] in FortiNDR version 7.4.2 and below, version 7.2.1 and below, versioEPSS 0.2%CVE-2025-3479MEDIUMForminator <= 1.42.0 - Order Replay VulnerabilityEPSS 0.2%CVE-2026-105280MEDIUMHex writes unverified package tarballs to standard output in mix hex.package fetchEPSS 0.2%CVE-2026-119186MEDIUMForge: AES-GCM authentication bypass via unvalidated tagLength optionEPSS 0.2%CVE-2026-26928HIGHLack of Dynamic Library Validation in SzafirHostEPSS 0.2%CVE-2026-20354MEDIUMCisco Secure Email S/MIME Ciphertext Decryption VulnerabiltyEPSS 0.2%CVE-2022-45191MEDIUMAn issue was discovered on Microchip RN4870 1.43 devices. An attacker within BLE radio range can cause a denial of service by sending a pairEPSS 0.2%CVE-2025-11543CRITICALImproper Validation of Integrity Check Value vulnerability in Sharp Display Solutions projectors allows a attacker may create and run unauthEPSS 0.2%CVE-2026-12802HIGHCMS AuthEnvelopedData fails to enforce tag-length on decryptionEPSS 0.2%CVE-2026-40323HIGHSP1 V6 Recursion Circuit Row-Count Binding GapEPSS 0.2%CVE-2026-5479HIGHwolfSSL EVP ChaCha20-Poly1305 AEAD authentication tagEPSS 0.2%CVE-2026-32148HIGHLockfile checksums not verified in Hex allows dependency integrity bypassEPSS 0.2%CVE-2025-25183LOWvLLM using built-in hash() from Python 3.12 leads to predictable hash collisions in vLLM prefix cacheEPSS 0.2%