Weaknesses of type CWE-799

98 results

Controle inadequado de frequência de interações

A aplicação não limita ou valida adequadamente a quantidade de requisições que um usuário ou cliente pode fazer em um período de tempo. Um atacante explora isso enviando múltiplas operações (login, compra, envio de mensagens) em alta frequência, causando negação de serviço, consumo de recursos ou bypass de proteções como rate limiting.

Example

Um endpoint de login aceita ilimitadamente tentativas de autenticação sem throttling. Um atacante envia 10 mil requisições por segundo, travando a aplicação e impedindo usuários legítimos de acessar. Ou em um carrinho de compras, múltiplas submissões simultâneas do pedido resultam em cobranças duplicadas.

How to mitigate

Implemente rate limiting (p.ex., máximo de 5 tentativas de login por IP em 15 minutos) e use mecanismos como token bucket ou sliding window. Para operações críticas, adicione validação de duplicação no servidor (idempotência) e CAPTCHA após threshold de tentativas.

CVE-2026-30972MEDIUMParse Server has a rate limit bypass via batch request endpointEPSS 0.4%CVE-2026-41333MEDIUMOpenClaw < 2026.3.31 - Authentication Rate Limiting Bypass via Fake DeviceTokenEPSS 0.4%CVE-2026-32729HIGHRuntipi has a TOTP two-factor authentication bypass via unrestricted brute-force on `/api/auth/verify-totp`EPSS 0.4%CVE-2025-29998HIGHNo Rate Limiting Vulnerability in CAP back office applicationEPSS 0.4%CVE-2026-107830MEDIUMJivejdon through commit ee67a65e Missing Rate Limiting via /account/smsVRAction SMS EndpointEPSS 0.4%CVE-2024-8475MEDIUMProtection Mechanism Failure in Digital Operation Services' WiFiBuradaEPSS 0.4%CVE-2021-37191MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0 SP2). An unauthenticated attacker in the same netwoEPSS 0.4%CVE-2026-7402HIGHImproper Rate Limiting in MeWare Software's PDKSEPSS 0.4%CVE-2026-1409LOWBeetel 777VR1 UART excessive authenticationEPSS 0.4%CVE-2024-13274MEDIUMOpen Social - Moderately critical - Denial of Service - SA-CONTRIB-2024-038EPSS 0.4%CVE-2025-52570LOWLetmein connection limiter allows an arbitrary amount of simultaneous connectionsEPSS 0.4%CVE-2026-22216MEDIUMwpDiscuz before 7.6.47 - No Rate Limiting on Subscription Endpoints with LIKE Wildcard BypassEPSS 0.4%CVE-2026-116007MEDIUMYunaiV/zhijiantianya ruoyi-vue-pro SMS Code Verification SmsCodeServiceImpl.java SmsCodeServiceImpl.validateSmsCode0 excessive authenticationEPSS 0.4%CVE-2025-36045MEDIUMTS4300 Tape Library addresses security vulnerabilityEPSS 0.4%CVE-2025-13211MEDIUMIBM Aspera Orchestrator Denial of ServiceEPSS 0.4%CVE-2025-7882LOWMercusys MW301R Login excessive authenticationEPSS 0.3%CVE-2023-51544MEDIUMWordPress RegistrationMagic plugin <= 5.2.5.0 - Form Submission Limit Bypass vulnerabilityEPSS 0.3%CVE-2026-84461MEDIUMZammad: Missing rate limiting allows password brute-forcing during two-factor loginEPSS 0.3%CVE-2024-9199MEDIUMRate limit vulnerability in Clibo ManagerEPSS 0.3%CVE-2025-52880MEDIUMKomga Vulnerable to Arbitrary Code Execution via Crafted EPUB FileEPSS 0.3%