Weaknesses of type CWE-606

38 results

Entrada não validada em condição de loop

Ocorre quando dados fornecidos pelo usuário (ou fonte externa) são usados diretamente na condição de um loop sem validação prévia. Um atacante pode manipular essa entrada para causar loops infinitos, consumir recursos excessivos ou desviar o fluxo de execução do programa.

Example

Um formulário web aceita um parâmetro 'quantidade' do usuário e usa `for(int i = 0; i < quantidade; i++)` sem verificar se quantidade é um número razoável. Um atacante envia quantidade = 2147483647 e tranca a aplicação em um loop infinito, indisponibilizando-a para outros usuários.

How to mitigate

Sempre validar e sanitizar entradas antes de usá-las em condições de loop: verificar se o valor está dentro de um intervalo aceitável, se é do tipo esperado e se não ultrapassa limites de timeout ou recursos. Use whitelist de valores válidos quando possível.

CVE-2023-3446MEDIUMExcessive time spent checking DH keys and parametersEPSS 6.5%CVE-2023-5678MEDIUMExcessive time spent in DH check / generation with large Q parameter valueEPSS 4.5%CVE-2023-3817MEDIUMExcessive time spent checking DH q parameter valueEPSS 3.0%CVE-2024-43499HIGH.NET and Visual Studio Denial of Service VulnerabilityEPSS 2.6%CVE-2023-6237MEDIUMExcessive time spent checking invalid RSA public keysEPSS 2.3%CVE-2026-1519HIGHExcessive NSEC3 iterations cause high CPU load during insecure delegation validationEPSS 1.6%CVE-2024-4603MEDIUMExcessive time spent checking DSA keys and parametersEPSS 1.1%CVE-2026-41606MEDIUMApache Thrift: c_glib dispatch stack overflowEPSS 1.1%CVE-2024-8508MEDIUMUnbounded name compression could lead to Denial of ServiceEPSS 0.8%CVE-2026-39820HIGHQuadratic string concatentation in consumeComment in net/mailEPSS 0.8%CVE-2026-33814HIGHInfinite loop in HTTP/2 transport when given bad SETTINGS_MAX_FRAME_SIZE in net/http/internal/http2 in golang.org/x/netEPSS 0.8%CVE-2022-3252—Improper detection of complete HTTP body decompression SwiftNIO Extras provides a pair of helpers for transparently decompressing received HEPSS 0.7%CVE-2026-42561HIGHPython-Multipart: Denial of Service via unbounded multipart part headersEPSS 0.7%CVE-2026-5950MEDIUMUnbounded resend loop in BIND 9 resolverEPSS 0.7%CVE-2024-34486HIGHOFPPacketQueue in parser.py in Faucet SDN Ryu 4.34 allows attackers to cause a denial of service (infinite loop) via OFPQueueProp.len=0.EPSS 0.6%CVE-2026-33891HIGHForge has Denial of Service via Infinite Loop in BigInteger.modInverse() with Zero InputEPSS 0.6%CVE-2026-27145MEDIUMInefficient candidate hostname parsing in crypto/x509EPSS 0.6%CVE-2026-44289HIGHprotobufjs: Denial of service through unbounded protobuf recursionEPSS 0.6%CVE-2025-65518HIGHPlesk Obsidian versions 8.0.1 through 18.0.73 are vulnerable to a Denial of Service (DoS) condition. The vulnerability exists in the get_pasEPSS 0.6%CVE-2026-10143HIGHkafka-python prior to 2.3.2 DoS via SCRAM Iteration Count in scram.pyEPSS 0.5%