Weaknesses of type CWE-407

173 results

Complexidade algorítmica ineficiente

O código usa um algoritmo cuja complexidade temporal ou espacial é muito alta para os dados que processa, permitindo que um atacante cause negação de serviço alimentando entradas que forçam o pior caso de desempenho. Exemplos comuns são buscas lineares onde buscas binárias seriam apropriadas, ou regex catastrófico que explora backtracking excessivo.

Example

Um validador de email usando regex com grupos aninhados descontrola processamento CPU ao receber strings malformadas longas; ou um servidor que processa listas de dados com dois loops aninhados O(n²) quando n pode chegar a milhões, permitindo travar o serviço com uma requisição.

How to mitigate

Escolha estruturas de dados e algoritmos apropriados ao tamanho esperado dos dados (use hash maps em vez de arrays lineares, ordene antes de buscar). Para entradas não confiáveis, implemente timeouts, limite de tamanho de entrada e teste regex com ferramentas de detecção de backtracking.

CVE-2026-6042MEDIUMmusl libc GB18030 4-byte Decoder iconv.c iconv algorithmic complexityEPSS 0.2%CVE-2026-86349MEDIUMMattermost Server Algorithmic DoS via Unbounded Markdown Block NestingEPSS 0.2%CVE-2026-12882MEDIUMMattermost Markdown autolink parsing denial of serviceEPSS 0.2%CVE-2025-66382LOWIn libexpat through 2.7.3, a crafted file with an approximate size of 2 MiB can lead to dozens of seconds of processing time.EPSS 0.2%CVE-2026-8594MEDIUMText::LineFold versions through 2019.001 for Perl duplicate the output based on the number of special break charactersEPSS 0.2%CVE-2026-49460MEDIUMpypdf: Inefficient decoding of FlateDecode PNG predictor streamsEPSS 0.2%CVE-2023-30421LOWmystrtod in mjson 1.2.7 requires more than a billion iterations during processing of certain digit strings such as 8891110122900e91301393575EPSS 0.2%CVE-2026-87081HIGHNet::IDN::UTS46 versions before 2.590 for Perl allow CPU exhaustion via quadratic punycode encoding of an overlong label before the length check in to_asciiEPSS 0.2%CVE-2026-87079HIGHNet::IDN::Punycode versions before 2.590 for Perl allow CPU exhaustion via quadratic insertion cost when decoding a long label in decode_punycodeEPSS 0.2%CVE-2026-77831LOWAlgorithmic-complexity denial of service in AshPaperTrail full-diff list trackingEPSS 0.1%CVE-2026-84305MEDIUMsqlparse: Reindentation of tuple lists causes near-cap quadratic CPU consumptionEPSS 0.1%CVE-2026-11312MEDIUMbytedance InfiniStore KV Map infinistore.h purge_kv_map algorithmic complexityEPSS 0.1%CVE-2026-71429MEDIUMstream-json: pick/ignore/filter/replace filters are O(depth²) on nested input — small crafted JSON blocks the event loop for seconds→minutes (DoS)EPSS 0.1%