Weaknesses of type CWE-405

74 results

Consumo assimétrico de recursos (amplificação)

O atacante consegue consumir uma quantidade desproporcional de recursos do servidor (CPU, memória, banda) com um esforço mínimo do seu lado. Ele envia poucos dados ou requisições simples, mas força o alvo a gastar muito mais processamento em resposta, criando um desequilíbrio de custo.

Example

Um serviço de busca que aceita regex complexas sem limite de tempo: o atacante envia uma expressão regular mal formada que causa backtracking exponencial, travando a CPU do servidor enquanto ele apenas enviou uma string pequena. Outro caso: um parser XML que expande entidades externas em cadeia, consumindo toda a memória com um arquivo XML mínimo.

How to mitigate

Implemente timeouts rigorosos em operações pesadas (regex, parsing, compressão), valide e limite a complexidade de entrada antes de processar, e use rate limiting para frear requisições sucessivas do mesmo cliente. Em APIs, rejeite payloads muito maiores que o esperado ou operações que exigem recursos desproporcionais.

CVE-2026-75029MEDIUMMessage parser retains every identical singleton RDATA, enabling wire-to-work amplificationEPSS 0.5%CVE-2025-66564HIGHSigstore Timestamp Authority allocates excessive memory during request parsingEPSS 0.5%CVE-2025-42874HIGHDenial of service (DOS) in SAP NetWeaver (remote service for Xcelsius)EPSS 0.5%CVE-2026-0485HIGHDenial of service (DOS) vulnerability in SAP BusinessObjects BI PlatformEPSS 0.5%CVE-2026-68531LOWConcrete CMS below 9.5.3 is vulnerable to Authenticated Denial of Service via Unescaped SQL LIKE Wildcards in Keyword SearchEPSS 0.5%CVE-2026-104817HIGHMisskey: Lack of rate limiting and size restrictions in RSS fetching APIEPSS 0.5%CVE-2026-103880HIGHApache Directory LDAP API: Denial of service via excessive bcrypt cost factor in stored passwordsEPSS 0.4%CVE-2026-86432MEDIUMcommonmark 2.0.0 before 2.8.4 Denial of Service via XMLEPSS 0.4%CVE-2025-26516MEDIUMCVE-2025-26516 Denial of Service Vulnerability in StorageGRID (formerly StorageGRID Webscale)EPSS 0.4%CVE-2026-45557MEDIUMTechnitium DNS Server excessive DNSSEC requestsEPSS 0.4%CVE-2025-32394MEDIUMAutoGPT: There is a DoS vulnerability in AITextSummarizerBlockEPSS 0.4%CVE-2025-42873MEDIUMDenial of Service (DoS) in SAPUI5 framework (Markdown-it component)EPSS 0.4%CVE-2026-82309MEDIUMRobots::Validate versions from 0.3.2 before 0.3.11 for Perl allow unbounded outbound DNS queries per validation via a forward-confirmation loop that does not bound the names it queriesEPSS 0.4%CVE-2026-24324MEDIUMDenial of service (DOS) vulnerability in SAP BusinessObjects Business Intelligence Platform (AdminTools)EPSS 0.4%CVE-2025-49643MEDIUMFrontend DoS vulnerability due to asymmetric resource consumptionEPSS 0.4%CVE-2025-46598MEDIUMBitcoin Core through 29.0 allows a denial of service via a crafted transaction.EPSS 0.3%CVE-2026-104431HIGHZebra before 6.0.0 Denial of Service via Synchronous Script FFI VerificationEPSS 0.3%CVE-2026-104423HIGHZebra before 6.2.1 Denial of Service via Uncapped V6 Shielded Proof VerificationEPSS 0.3%CVE-2024-0450MEDIUMQuoted zip-bomb protection for zipfileEPSS 0.3%CVE-2026-15822HIGHIBM DataPower Gateway Denial of ServiceEPSS 0.3%