Falhas do tipo CWE-354

151 resultados

Validação inadequada de valor de verificação de integridade

É quando o código não valida corretamente (ou não valida de jeito nenhum) checksums, hashes ou assinaturas criptográficas que devem garantir que dados não foram modificados. Sem essa validação, um atacante consegue alterar dados em trânsito ou em repouso sem ser detectado.

Exemplo

Um sistema baixa um arquivo com um hash SHA-256 fornecido pelo servidor, mas calcula o hash local de forma errada, compara apenas os primeiros 8 caracteres em vez dos 64, ou sequer verifica se o resultado bate. O atacante altera o arquivo durante o download e ninguém percebe.

Como mitigar

Sempre calcular o hash/checksum completo do dado recebido e comparar byte-a-byte com o valor esperado. Use funções criptográficas estabelecidas (SHA-256 ou superior), nunca invente sua própria lógica de validação, e lance exceção se a verificação falhar. Para dados críticos, considere assinatura criptográfica em vez de apenas hash.

CVE-2026-118776LOWForge: Incomplete PKCS#7 padding validation in AES/DES CBC and ECB decryptionEPSS 0.1%CVE-2023-36537HIGHImproper privilege management in Zoom Rooms for Windows before version 5.14.5 may allow an authenticated user to enable an escalation of priEPSS 0.1%CVE-2022-39845MEDIUMImproper validation of integrity check vulnerability in Samsung Kies prior to version 2.6.4.22074 allows local attackers to delete arbitraryEPSS 0.1%CVE-2024-32883HIGHMCUboot Injection attack of unprotected TLV valuesEPSS 0.1%CVE-2026-118782HIGHForge: PKCS#12 MAC forgery and constant-key PBE via zero iteration countEPSS 0.1%CVE-2026-56416MEDIUMPossible heap buffer overflow when validator canonicalizes RDATA that contains domain nameEPSS 0.1%CVE-2024-46992HIGHElectron ASAR Integrity bypass by just modifying the contentEPSS 0.1%CVE-2025-4616LOWPrisma Browser: Insufficient Validation of Untrusted Input Vulnerability in Prisma BrowserEPSS 0.1%CVE-2026-32303HIGHCryptomator: Tampered vault configuration allows MITM attack on Hub APIEPSS 0.1%CVE-2026-5504MEDIUMPKCS7 CBC Padding Oracle — Plaintext RecoveryEPSS 0.1%CVE-2026-65625MEDIUMAttacker-controlled AES-GCM authentication tag length allows tag forgery in joseEPSS 0.1%CVE-2025-33193MEDIUMNVIDIA DGX Spark GB10 contains a vulnerability in SROOT firmware, where an attacker could cause improper validation of integrity. A successfEPSS 0.1%CVE-2026-54578LOWmport verify can compare stale checksum data after hashing failuresEPSS 0.1%CVE-2026-106434MEDIUMUnrecognized payload acceptance in explicit decryption in MongoDB libmongocryptEPSS 0.1%CVE-2026-71888HIGHCMS AuthenticatedData exposes attacker-inserted authAttrs when digestAlgorithm is absentEPSS 0.1%CVE-2026-35501LOWBypass of a configured island trust anchor underneath an insecure parent from an atacker-controlled NSEC record.EPSS 0.1%CVE-2023-41970MEDIUMRepair App local code execution with arbitrary privilegesEPSS 0.1%CVE-2024-23461MEDIUMZCC macOS Upgrade ZIP Bomb DoSEPSS 0.1%CVE-2024-7402HIGHNetskope Client Configuration Tampering with Local MITMEPSS 0.1%CVE-2024-31958MEDIUMAn issue was discovered in Samsung Mobile Processor EExynos 2200, Exynos 1480, Exynos 2400. It lacks a check for the validation of native haEPSS 0.1%