Weaknesses of type CWE-407

173 results

Complexidade algorítmica ineficiente

O código usa um algoritmo cuja complexidade temporal ou espacial é muito alta para os dados que processa, permitindo que um atacante cause negação de serviço alimentando entradas que forçam o pior caso de desempenho. Exemplos comuns são buscas lineares onde buscas binárias seriam apropriadas, ou regex catastrófico que explora backtracking excessivo.

Example

Um validador de email usando regex com grupos aninhados descontrola processamento CPU ao receber strings malformadas longas; ou um servidor que processa listas de dados com dois loops aninhados O(n²) quando n pode chegar a milhões, permitindo travar o serviço com uma requisição.

How to mitigate

Escolha estruturas de dados e algoritmos apropriados ao tamanho esperado dos dados (use hash maps em vez de arrays lineares, ordene antes de buscar). Para entradas não confiáveis, implemente timeouts, limite de tamanho de entrada e teste regex com ferramentas de detecção de backtracking.

CVE-2026-82398MEDIUMpypdf: Inefficient handling of non-whitespace inputs in read_until_whitespaceEPSS 0.3%CVE-2026-49250HIGHConform: parseSubmission vulnerable to CPU exhaustion when parsing many unique form fieldsEPSS 0.3%CVE-2026-72663MEDIUMInefficient Algorithmic Complexity in Kibana Leading to Denial of ServiceEPSS 0.3%CVE-2026-71848MEDIUMHono: Algorithmic Complexity DoS in Language MiddlewareEPSS 0.3%CVE-2026-86434HIGHcommonmark 2.0.0 through 2.8.3 Denial of Service via Slug CollisionEPSS 0.3%CVE-2026-86429HIGHcommonmark before 2.9.1 Denial of Service via SmartPunct and AttributesEPSS 0.3%CVE-2026-86433HIGHcommonmark 1.5.0 before 2.8.4 Denial of Service via AttributesEPSS 0.3%CVE-2026-76401MEDIUMRegular Expression Denial of Service (DoS) through the REST API in Splunk Connect for KafkaEPSS 0.3%CVE-2026-86430HIGHleague/commonmark before 2.9.1 Denial of Service via parsingEPSS 0.3%CVE-2026-86435HIGHcommonmark 1.5.0 before 2.8.4 Denial of Service via FootnoteEPSS 0.3%CVE-2026-86428HIGHcommonmark 1.5.0 before 2.10.0 Denial of Service via AttributesEPSS 0.3%CVE-2025-67841HIGHNordic Semiconductor IronSide SE for nRF54H20 before 23.0.2+17 has an Algorithmic complexity issue.EPSS 0.3%CVE-2024-58382HIGHleague/commonmark before 2.6.0 Denial of Service via Quadratic ComplexityEPSS 0.3%CVE-2026-31934HIGHSuricata smtp/mine: quadratic complexity in extracting urlsEPSS 0.3%CVE-2026-72685MEDIUMInefficient Algorithmic Complexity in Elasticsearch Leading to Denial of ServiceEPSS 0.3%CVE-2026-31932HIGHSuricata krb5: quadratic complexity in krb5 bufferingEPSS 0.3%CVE-2026-54284HIGHsqlparse: TokenList.__init__ materializes O(subtree) value per group, causing CPU DoS before depth/token caps triggerEPSS 0.3%CVE-2026-71491HIGHsqlparse: Quadratic O(n²) DoS in group_commentsEPSS 0.3%CVE-2026-65634HIGHSuperlinear CPU denial of service in Erlang/OTP ASN.1 OBJECT IDENTIFIER decoderEPSS 0.3%CVE-2025-55304LOWExiv2 has quadratic performance in ICC profile parsing in JpegBase::readMetadataEPSS 0.2%