Weaknesses of type CWE-799

81 results

Controle inadequado de frequência de interações

A aplicação não limita ou valida adequadamente a quantidade de requisições que um usuário ou cliente pode fazer em um período de tempo. Um atacante explora isso enviando múltiplas operações (login, compra, envio de mensagens) em alta frequência, causando negação de serviço, consumo de recursos ou bypass de proteções como rate limiting.

Example

Um endpoint de login aceita ilimitadamente tentativas de autenticação sem throttling. Um atacante envia 10 mil requisições por segundo, travando a aplicação e impedindo usuários legítimos de acessar. Ou em um carrinho de compras, múltiplas submissões simultâneas do pedido resultam em cobranças duplicadas.

How to mitigate

Implemente rate limiting (p.ex., máximo de 5 tentativas de login por IP em 15 minutos) e use mecanismos como token bucket ou sliding window. Para operações críticas, adicione validação de duplicação no servidor (idempotência) e CAPTCHA após threshold de tentativas.

CVE-2026-85586MEDIUMphpMyFAQ before 4.1.8 CAPTCHA Bypass via store parameterEPSS 0.4%CVE-2025-13211MEDIUMIBM Aspera Orchestrator Denial of ServiceEPSS 0.4%CVE-2025-52570LOWLetmein connection limiter allows an arbitrary amount of simultaneous connectionsEPSS 0.4%CVE-2026-30972MEDIUMParse Server has a rate limit bypass via batch request endpointEPSS 0.3%CVE-2026-32729HIGHRuntipi has a TOTP two-factor authentication bypass via unrestricted brute-force on `/api/auth/verify-totp`EPSS 0.3%CVE-2026-54594MEDIUMOmniBlocks: Spamming in Discussions tab possible via disc.ymlEPSS 0.3%CVE-2023-51544MEDIUMWordPress RegistrationMagic plugin <= 5.2.5.0 - Form Submission Limit Bypass vulnerabilityEPSS 0.3%CVE-2024-9199MEDIUMRate limit vulnerability in Clibo ManagerEPSS 0.3%CVE-2026-22216MEDIUMwpDiscuz before 7.6.47 - No Rate Limiting on Subscription Endpoints with LIKE Wildcard BypassEPSS 0.3%CVE-2025-32378MEDIUMShopware's default newsletter opt-in settings allow for mass sign-up abuseEPSS 0.3%CVE-2025-7882LOWMercusys MW301R Login excessive authenticationEPSS 0.3%CVE-2025-52880MEDIUMKomga Vulnerable to Arbitrary Code Execution via Crafted EPUB FileEPSS 0.3%CVE-2024-11126LOWDigistar AG-30 Plus Login Page excessive authenticationEPSS 0.3%CVE-2025-13212MEDIUMIBM Aspera Console Denial of ServiceEPSS 0.3%CVE-2025-55268MEDIUMHCL Aftermarket DPC is affected by Spamming VulnerabilityEPSS 0.3%CVE-2025-36045MEDIUMTS4300 Tape Library addresses security vulnerabilityEPSS 0.3%CVE-2024-47065LOWTraceroute_APP responses are not rate-limited.EPSS 0.2%CVE-2025-1629MEDIUMExcitel Broadband Private my Excitel App One-Time Password excessive authenticationEPSS 0.2%CVE-2025-48016MEDIUMImproper Control of Interaction FrequencyEPSS 0.2%CVE-2026-5233HIGHMissing Rate Limiting in Mia Technologies' Pizzy LibraryEPSS 0.2%