Weaknesses of type CWE-674

458 results

Recursão descontrolada

Ocorre quando uma função chama a si mesma (ou a outras funções em cadeia) sem limite adequado de profundidade, consumindo toda a pilha de execução até causar travamento ou crash. O risco é permitir que dados não validados ou entrada do usuário definam a profundidade da recursão, tornando fácil um ataque de negação de serviço.

Example

Um parser XML que processa elementos aninhados chamando recursivamente a si mesmo para cada nível, sem verificar a profundidade máxima. Um atacante envia um arquivo com milhares de tags aninhadas e a aplicação entra em stack overflow.

How to mitigate

Implemente um limite máximo de profundidade de recursão (contador ou limite de pilha) e lance exceção se ultrapassado. Prefira iteração com pilha explícita quando possível, ou valide e sanitize a entrada para garantir que a complexidade da estrutura de dados não ultrapasse limites razoáveis.

CVE-2022-1771MEDIUMUncontrolled Recursion in vim/vimEPSS 1.2%CVE-2024-27454HIGHorjson.loads in orjson before 3.9.15 does not limit recursion for deeply nested JSON documents.EPSS 1.2%CVE-2026-69378HIGHMicrosoft Exchange Server Denial of Service VulnerabilityEPSS 1.2%CVE-2022-23516HIGHUncontrolled Recursion in LoofahEPSS 1.2%CVE-2026-92391HIGHcurl_mime_free stack overflow by recursionEPSS 1.2%CVE-2017-7515—poppler through version 0.55.0 is vulnerable to an uncontrolled recursion in pdfunite resulting into potential denial-of-service.EPSS 1.1%CVE-2023-1370HIGHStack exhaustion in json-smart leads to denial of service when parsing malformed JSONEPSS 1.1%CVE-2026-15830MEDIUMPotential denial-of-service vulnerability via nested geometry collectionsEPSS 1.1%CVE-2021-43172—Infinite length chain of RRDP repositoriesEPSS 1.1%CVE-2026-41606MEDIUMApache Thrift: c_glib dispatch stack overflowEPSS 1.1%CVE-2024-34158HIGHStack exhaustion in Parse in go/build/constraintEPSS 1.0%CVE-2026-61483HIGHApache Lucy: QueryParser unbounded recursion on deeply-nested query -> C-stack-overflow DoSEPSS 1.0%CVE-2022-23606MEDIUMCrash when a cluster is deleted in EnvoyEPSS 1.0%CVE-2024-31228MEDIUMDenial-of-service due to unbounded pattern matching in RedisEPSS 1.0%CVE-2023-1436MEDIUMInfinite recursion in Jettison leads to denial of service when creating a crafted JSONArrayEPSS 1.0%CVE-2024-43414HIGHApollo Query Planner and Apollo Gateway may infinitely loop on sufficiently complex queriesEPSS 1.0%CVE-2022-46405HIGHMastodon through 4.0.2 allows attackers to cause a denial of service (large Sidekiq pull queue) by creating bot accounts that follow attackeEPSS 1.0%CVE-2025-53864MEDIUMConnect2id Nimbus JOSE + JWT 10.0.x before 10.0.2 and 9.37.x before 9.37.4 allows a remote attacker to cause a denial of service via a deeplEPSS 1.0%CVE-2022-31099MEDIUMUncontrolled Recursion in rulexEPSS 1.0%CVE-2026-0990MEDIUMLibxml2: libxml2: denial of service via uncontrolled recursion in xml catalog processingEPSS 1.0%