Fallos del tipo CWE-407

173 resultados

Complexidade algorítmica ineficiente

É quando o código usa um algoritmo cuja complexidade computacional cresce desproporcionalmente com o tamanho da entrada, permitindo que um atacante consuma recursos (CPU, memória, tempo) enviando dados malformados ou massivos. O perigo: negação de serviço (DoS) ou travamento da aplicação sem necessidade de exploração de bugs clássicos.

Ejemplo

Uma API que processa lista de usuários com dois loops aninhados (O(n²)) em vez de usar hash ou índice. Um atacante envia 10 mil usuários e a operação que demoraria milissegundos passa a levar minutos, derrubando o servidor.

Cómo mitigar

Escolha algoritmos eficientes (use estruturas de dados apropriadas: hash, árvores balanceadas); implemente limites de entrada (validar tamanho máximo de listas, strings); monitore tempo de execução e aborte operações que excedem threshold; teste performance com dados grandes durante development.

CVE-2025-29908MEDIUMNetty QUIC hash collision DoS attackEPSS 0.6%CVE-2026-59880HIGHImmutable.js: Hash-collision algorithmic complexity denial of service in Immutable.Map/SetEPSS 0.6%CVE-2024-8177MEDIUMInefficient Algorithmic Complexity in GitLabEPSS 0.6%CVE-2026-42504HIGHQuadratic complexity in WordDecoder.DecodeHeader in mimeEPSS 0.6%CVE-2024-39702MEDIUMIn lj_str_hash.c in OpenResty 1.19.3.1 through 1.25.3.1, the string hashing function (used during string interning) allows HashDoS (Hash DenEPSS 0.6%CVE-2025-24946MEDIUMThe hash table used to manage connections in picoquic before b80fd3f uses a weak hash function, allowing remote attackers to cause a consideEPSS 0.5%CVE-2026-58226HIGHUnauthenticated denial-of-service via unbounded HPACK integer decoding in hpaxEPSS 0.5%CVE-2026-59869HIGHjs-yaml: YAML merge-key chains can force quadratic CPU consumptionEPSS 0.5%CVE-2026-82760HIGHSuperlinear base62 decoding exhausts CPU and memory in AshAuthentication API key sign-inEPSS 0.5%CVE-2026-70453HIGHrsync < 3.5.0 Algorithmic Complexity DoS via hash_search()EPSS 0.5%CVE-2026-58059HIGHQuadratic-time escaping when stringifying X.500 distinguished namesEPSS 0.5%CVE-2026-56860MEDIUMAvoid quadratic complexity in resolvePath in net/urlEPSS 0.5%CVE-2026-27903HIGHminimatch has a ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segmentsEPSS 0.5%CVE-2026-45822MEDIUMdecode-uri-component through 0.4.1 is vulnerable to denial of service. The decode() function splits input on '%' producing N tokens and callEPSS 0.5%CVE-2026-92091MEDIUMJwcrypto: jwcrypto: denial of service via o(n^2) duplicate check on unbounded jwk key_ops arrayEPSS 0.5%CVE-2026-82729MEDIUMQuadratic chunk-size parsing in Mint.HTTP1.Parse allows CPU-exhaustion DoSEPSS 0.5%CVE-2026-3276MEDIUMPotential DoS via quadratic complexity in unicodedata.normalize()EPSS 0.5%CVE-2026-90776HIGHNodemailer 9.1.0 through 10.0.4 Denial of Service via Quadratic Address ParsingEPSS 0.5%CVE-2026-3988HIGHInefficient Algorithmic Complexity in GitLabEPSS 0.5%CVE-2026-34827HIGHRack: Algorithmic-Complexity DoS in Rack::Multipart::ParserEPSS 0.5%