Fallos del tipo CWE-1333

407 resultados

Expressão regular com complexidade exponencial (ReDoS)

A aplicação usa uma regex mal construída que, em casos adversários, força o mecanismo de busca a testar um número exponencial de combinações antes de decidir se há match. Isso consome CPU descontroladamente e pode derrubar a aplicação com um padrão de entrada pequeno e cuidadosamente crafted.

Ejemplo

Um formulário valida email com regex como `(a+)+b`. Se você enviar uma string com muitos 'a's e nenhum 'b' no final, o mecanismo tenta todas as formas possíveis de agrupar aqueles 'a's antes de falhar, gastando segundos ou minutos em uma entrada de 30 caracteres.

Cómo mitigar

Evite quantificadores aninhados (tipo `(x+)+`, `(x*)*`), use âncoras e alternativas específicas, e defina timeouts para execução de regex. Teste com ferramentas como regex101 ou Regex Tester e considere parsing estruturado em vez de regex quando possível.

CVE-2025-25288MEDIUM@octokit/plugin-paginate-rest has a Regular Expression in iterator that Leads to ReDoS Vulnerability Due to Catastrophic BacktrackingEPSS 0.6%CVE-2025-25289MEDIUM@octokit/request-error has a Regular Expression in index that Leads to ReDoS Vulnerability Due to Catastrophic BacktrackingEPSS 0.6%CVE-2026-24001LOWjsdiff has a Denial of Service vulnerability in parsePatch and applyPatchEPSS 0.6%CVE-2024-10549HIGHDenial of Service by ReDOS in h2oai/h2o-3EPSS 0.6%CVE-2024-10550HIGHDenial of Service by ReDOS in h2oai/h2o-3EPSS 0.6%CVE-2024-39317MEDIUMWagtail regular expression denial-of-service via search query parsingEPSS 0.6%CVE-2025-5895MEDIUMMetabase dom.js parseDataUri redosEPSS 0.6%CVE-2023-25166MEDIUMRegular Expression Denial of Service (ReDoS) VulnerabilityEPSS 0.6%CVE-2024-28865HIGHdjango-wiki denial of service via regular expressionEPSS 0.6%CVE-2025-5896MEDIUMtarojs taro index.js redosEPSS 0.6%CVE-2025-3986MEDIUMApereo CAS CasConfigurationMetadataServerController.java redosEPSS 0.6%CVE-2025-5897MEDIUMvuejs vue-cli Markdown Code HtmlPwaPlugin.js HtmlPwaPlugin redosEPSS 0.6%CVE-2025-5892MEDIUMRocketChat parseMessage.js parseMessage redosEPSS 0.6%CVE-2026-29076MEDIUMcpp-httplib: Stack Overflow Denial of Service (DoS) via std::regex in multipart filename parsingEPSS 0.6%CVE-2023-6489MEDIUMInefficient Regular Expression Complexity in GitLabEPSS 0.6%CVE-2023-3909MEDIUMInefficient Regular Expression Complexity in GitLabEPSS 0.6%CVE-2024-54157MEDIUMIn JetBrains YouTrack before 2024.3.52635 potential ReDoS was possible due to vulnerable RegExp in Ruby syntax detectorEPSS 0.6%CVE-2025-3985MEDIUMApereo CAS ResponseEntity redosEPSS 0.6%CVE-2024-48938HIGHZnuny before LTS 6.5.1 through 6.5.10 and 7.0.1 through 7.0.16 allows DoS/ReDos via email. Parsing the content of emails where HTML code is EPSS 0.6%CVE-2024-4148HIGHRedos (Regular Expression Denial of Service) in lunary-ai/lunaryEPSS 0.6%