Weaknesses of type CWE-674

458 results

Recursão descontrolada

Ocorre quando uma função chama a si mesma (ou a outras funções em cadeia) sem limite adequado de profundidade, consumindo toda a pilha de execução até causar travamento ou crash. O risco é permitir que dados não validados ou entrada do usuário definam a profundidade da recursão, tornando fácil um ataque de negação de serviço.

Example

Um parser XML que processa elementos aninhados chamando recursivamente a si mesmo para cada nível, sem verificar a profundidade máxima. Um atacante envia um arquivo com milhares de tags aninhadas e a aplicação entra em stack overflow.

How to mitigate

Implemente um limite máximo de profundidade de recursão (contador ou limite de pilha) e lance exceção se ultrapassado. Prefira iteração com pilha explícita quando possível, ou valide e sanitize a entrada para garantir que a complexidade da estrutura de dados não ultrapasse limites razoáveis.

CVE-2026-9740HIGHUnbounded recursion in BSONColumn interleaved-reference causes pre-auth stack overflowEPSS 0.3%CVE-2026-95155HIGHFasterXML Jackson 1.x, confirmed in jackson-mapper-asl versions 1.8.3, 1.9.2, 1.9.11, 1.9.12, and 1.9.13, allows attackers to cause a denialEPSS 0.3%CVE-2026-102265MEDIUMPyJWT: Uncaught RecursionError in jwt.decode() on deeply nested token headerEPSS 0.3%CVE-2026-96289HIGHApache Thrift: php `--gen php:inlined` struct readers (and `TProtocol::skipBinary`) have no recursion-depth guardEPSS 0.3%CVE-2026-41680HIGHMarked: OOM Denial of Service via Infinite Recursion in marked TokenizerEPSS 0.3%CVE-2026-96288HIGHApache Thrift: Erlang generated struct reads have no recursion-depth guard (unbounded memory)EPSS 0.3%CVE-2026-39376HIGHFastFeedParser has an infinite redirect loop DoS via meta-refresh chainEPSS 0.3%CVE-2026-121423HIGHSurrealDB before 3.3.0 DoS via Unbounded Recursion in val::Value SerializationEPSS 0.3%CVE-2026-88858MEDIUMServer-side expression parser denial of serviceEPSS 0.3%CVE-2026-106972HIGHUncontrolled recursion in MessagePack\BufferUnpacker::unpack() in rybakit/msgpack versions prior to 0.11.0 allows attackers to cause a deniaEPSS 0.3%CVE-2026-74783HIGHScriban 6.6.0 through 7.2.0 Parser Recursion Denial of ServiceEPSS 0.3%CVE-2026-9769HIGHjusthtml before 1.10.0 Denial of Service via deeply nested HTMLEPSS 0.3%CVE-2025-65519MEDIUMmayswind ezbookkeeping versions 1.2.0 and earlier contain a critical vulnerability in JSON and XML file import processing. The application fEPSS 0.3%CVE-2026-119542MEDIUMOrg.infinispan/infinispan-query: infinispan: deeply nested ickle queries can trigger a stackoverflowerrorEPSS 0.3%CVE-2026-66282MEDIUMAuthenticated Denial-of-Service in Zigbee Publish Billing PeriodEPSS 0.3%CVE-2026-40879HIGHNest: DoS via Recursive handleData in JsonSocket (TCP Transport)EPSS 0.3%CVE-2026-49941HIGHNet::CIDR::Set versions through 0.20 for Perl did not validate IP addressesEPSS 0.3%CVE-2026-110974MEDIUMUncontrolled Recursion on Nested JSON Allows Denial of Service in android-jsonEPSS 0.3%CVE-2026-102510HIGHApache PLC4X: Go binding: unbounded allocation and framing failures on wire-controlled lengthsEPSS 0.3%CVE-2026-112072MEDIUMvault-java-driver: stored deeply nested JSON kills every thread that reads itEPSS 0.3%