Weaknesses of type CWE-789

251 results

Alocação de memória descontrolada

Ocorre quando a aplicação aloca memória de forma proporcional a entrada do usuário sem validar limites, permitindo que um atacante force a alocação de quantidades excessivas de RAM. Isso causa consumo de memória em massa (DoS) ou até crash da aplicação.

Example

Um servidor web que redimensiona um buffer baseado no header Content-Length enviado pelo cliente sem checá-lo contra um máximo razoável. Um atacante envia Content-Length: 999999999, forçando a alocação de gigabytes de memória instantaneamente e derrubando o serviço.

How to mitigate

Defina e enforce limites máximos de memória por operação — valide tamanhos de entrada contra thresholds conhecidos antes de alocar. Use mecanismos do SO (ulimit, cgroups) para restringir memória por processo como última linha de defesa.

CVE-2026-42146MEDIUMCImg Library: Uncontrolled memory allocation via nb_colors field in _load_bmpEPSS 0.1%CVE-2026-86776MEDIUMKeePass 2.35 through 2.61.1 Memory Exhaustion via KDBX Header Field SizeEPSS 0.1%CVE-2026-17535MEDIUMVelociraptor Multiple Crashes in NTFS Parser when applied to invalid NTFS VolumesEPSS 0.1%CVE-2018-25274MEDIUMInfraRecorder 0.53 Denial of Service via txt File ImportEPSS 0.1%CVE-2026-85201MEDIUMIn Eclipse Ankaios versions 0.1.0 through 1.0.1, the agent does not limit the length declared by a workload in a length-delimited protobuf mEPSS 0.1%CVE-2026-47319MEDIUMMemory allocation with excessive size value vulnerability in Samsung Open Source rlottie allows Excessive Allocation. This issue affects rlEPSS 0.1%CVE-2026-96260MEDIUMMattermost server missing request body size limit on plugin routes allows denial of service by an authenticated userEPSS —CVE-2026-77322HIGHSIPGO: DoS via unvalidated WebSocket frame lengthEPSS —CVE-2026-77619HIGHVector: Unauthenticated denial of service in the `logstash` source via unbounded memory allocation.EPSS —CVE-2026-59991HIGHpsd-tools: Uncontrolled memory allocation in psd-tools composite/numpy via crafted PSD geometryEPSS —CVE-2026-58268HIGHSIPGO: DoS via unvalidated Content-Length in the stream parserEPSS —