Weaknesses of type CWE-799

98 results

Controle inadequado de frequência de interações

A aplicação não limita ou valida adequadamente a quantidade de requisições que um usuário ou cliente pode fazer em um período de tempo. Um atacante explora isso enviando múltiplas operações (login, compra, envio de mensagens) em alta frequência, causando negação de serviço, consumo de recursos ou bypass de proteções como rate limiting.

Example

Um endpoint de login aceita ilimitadamente tentativas de autenticação sem throttling. Um atacante envia 10 mil requisições por segundo, travando a aplicação e impedindo usuários legítimos de acessar. Ou em um carrinho de compras, múltiplas submissões simultâneas do pedido resultam em cobranças duplicadas.

How to mitigate

Implemente rate limiting (p.ex., máximo de 5 tentativas de login por IP em 15 minutos) e use mecanismos como token bucket ou sliding window. Para operações críticas, adicione validação de duplicação no servidor (idempotência) e CAPTCHA após threshold de tentativas.

CVE-2025-32378MEDIUMShopware's default newsletter opt-in settings allow for mass sign-up abuseEPSS 0.3%CVE-2026-115480MEDIUMbaserCMS: Public Web API mail-form submission bypasses image CAPTCHAEPSS 0.3%CVE-2025-13212MEDIUMIBM Aspera Console Denial of ServiceEPSS 0.3%CVE-2026-100603HIGHClawHub before 8c2de6c506 Skill Hiding via Coordinated ReportsEPSS 0.3%CVE-2024-11126LOWDigistar AG-30 Plus Login Page excessive authenticationEPSS 0.3%CVE-2026-96364MEDIUMWebform - Moderately critical - Access bypass - SA-CONTRIB-2026-171EPSS 0.3%CVE-2026-63399MEDIUMCoop: Unauthenticated org provisioning via GraphQL Mutation.createOrgEPSS 0.3%CVE-2024-47065LOWTraceroute_APP responses are not rate-limited.EPSS 0.3%CVE-2025-55268MEDIUMHCL Aftermarket DPC is affected by Spamming VulnerabilityEPSS 0.3%CVE-2025-1629MEDIUMExcitel Broadband Private my Excitel App One-Time Password excessive authenticationEPSS 0.2%CVE-2025-48016MEDIUMImproper Control of Interaction FrequencyEPSS 0.2%CVE-2024-5617MEDIUMAccount Lock Bypass via User Store Synchronization in Multiple WSO2 Products Allows Brute Force AttacksEPSS 0.2%CVE-2026-97300MEDIUMWordPress WP Event Solution plugin <= 4.1.25 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-5233HIGHMissing Rate Limiting in Mia Technologies' Pizzy LibraryEPSS 0.2%CVE-2026-82924MEDIUMPII Enumeration via Missing Rate Limiting in Pusula Communication's Expert MailEPSS 0.2%CVE-2026-115359MEDIUMOpenBao before 2.6.4 and 2.7.0 before 2.7.1 Role-Based Rate Limit Quota Bypass via Request ParsingEPSS 0.2%CVE-2024-0094MEDIUMCVEEPSS 0.1%CVE-2026-124575MEDIUMSiteServer SSCMS Admin-Login CAPTCHA LoginController.Submit.cs LoginController.Submit excessive authenticationEPSS —