Falhas do tipo CWE-354

151 resultados

Validação inadequada de valor de verificação de integridade

É quando o código não valida corretamente (ou não valida de jeito nenhum) checksums, hashes ou assinaturas criptográficas que devem garantir que dados não foram modificados. Sem essa validação, um atacante consegue alterar dados em trânsito ou em repouso sem ser detectado.

Exemplo

Um sistema baixa um arquivo com um hash SHA-256 fornecido pelo servidor, mas calcula o hash local de forma errada, compara apenas os primeiros 8 caracteres em vez dos 64, ou sequer verifica se o resultado bate. O atacante altera o arquivo durante o download e ninguém percebe.

Como mitigar

Sempre calcular o hash/checksum completo do dado recebido e comparar byte-a-byte com o valor esperado. Use funções criptográficas estabelecidas (SHA-256 ou superior), nunca invente sua própria lógica de validação, e lance exceção se a verificação falhar. Para dados críticos, considere assinatura criptográfica em vez de apenas hash.

CVE-2025-55155MEDIUMMantisBT: Authentication bypass for some passwords due to PHP type jugglingEPSS 0.2%CVE-2026-93317MEDIUMContainer blob cache can accept unverified contentEPSS 0.2%CVE-2026-8720MEDIUMHMAC-BLAKE2 final discards message when key length exceeds block sizeEPSS 0.2%CVE-2026-32313HIGHxmlseclibs is Missing AES-GCM Authentication Tag Validation on Encrypted Nodes Allows for Unauthorized DecryptionEPSS 0.2%CVE-2026-85515HIGHOpenPGP message truncation not reported, bypassing the SEIPDv1 integrity checkEPSS 0.2%CVE-2026-109366MEDIUMZebra before 6.4.0 Gossiped Block Drop via Forged Coinbase scriptSig HeightEPSS 0.2%CVE-2022-39844MEDIUMImproper validation of integrity check vulnerability in Smart Switch PC prior to version 4.3.22083 allows local attackers to delete arbitrarEPSS 0.2%CVE-2026-25934MEDIUMgo-git improperly verifies data integrity values for .idx and .pack filesEPSS 0.2%CVE-2026-102759MEDIUMNetX Secure TLS accepts an empty application-data record without verifying its message authentication code. In `_nx_secure_verify_mac`, a deEPSS 0.2%CVE-2026-95625MEDIUMTauri framework v2 missing updater signature version number validation can be exploited into forced downgradeEPSS 0.2%CVE-2023-42143MEDIUMMissing Integrity Check in Shelly TRV 20220811-152343/v2.1.8@5afc928c allows malicious users to create a backdoor by redirecting the device EPSS 0.2%CVE-2026-54174HIGHmelange: Incomplete package integrity verification allows data section substitutionEPSS 0.2%CVE-2020-9210MEDIUMThere is an insufficient integrity vulnerability in Huawei products. A module does not perform sufficient integrity check in a specific scenEPSS 0.2%CVE-2026-16001HIGHIesEngine stream-mode MAC forgery via length-dependent KDF splitEPSS 0.2%CVE-2026-32600HIGHxml-security is Missing AES-GCM Authentication Tag Validation on Encrypted Nodes Allows for Unauthorized DecryptionEPSS 0.2%CVE-2026-115906MEDIUMzip: AES Entry HMAC Authentication Bypass on Premature EOFEPSS 0.2%CVE-2026-116608MEDIUMDAMO Academy VideoLLaMA2 Model Loading __init__.py load_pretrained_model integrity checkEPSS 0.1%CVE-2022-33711—Improper validation of integrity check vulnerability in Samsung USB Driver Windows Installer for Mobile Phones prior to version 1.7.56.0 allEPSS 0.1%CVE-2026-13385CRITICALAn Improper Validation of Integrity Check Value and Improper Certificate Validation in certain ASUS router models allows a remote man-in-theEPSS 0.1%CVE-2026-31839HIGHStriae has a hash validation utility vulnerabilityEPSS 0.1%