Fallos del tipo CWE-799

71 resultados

Controle inadequado da frequência de interações

Ocorre quando uma aplicação não limita corretamente quantas vezes um usuário pode executar uma ação em um período de tempo. Isso permite que atacantes disparem requisições em massa — login repetido, consumo de recursos, abuso de APIs — degradando o serviço ou contornando proteções como CAPTCHA e validações de email.

Ejemplo

Um endpoint de recuperação de senha sem rate limiting permite que um atacante envie 10 mil requisições por minuto, gerando emails em massa para um usuário alvo ou forçando o envio de tokens válidos até adivinhar um. Outro cenário: API de busca sem throttling deixa um bot fazer 100 mil queries por hora, consumindo banda e CPU do servidor.

Cómo mitigar

Implemente rate limiting baseado em IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use bibliotecas como express-rate-limit, nginx rate_limit ou WAF rules. Para APIs sensíveis, combine com CAPTCHA, throttling, e alertas de anomalia em padrões de requisições.

CVE-2023-35621HIGHMicrosoft Dynamics 365 Finance and Operations Denial of Service VulnerabilityEPSS 2.3%CVE-2016-6543—A captured MAC/device ID of an iTrack Easy can be registered under multiple user accounts allowing access to getgps GPS dataEPSS 2.2%CVE-2021-37910LOWASUS GT-AXE11000, RT-AX3000, RT-AX55, RT-AX58U, TUF-AX3000 - Improper AuthenticationEPSS 2.1%CVE-2021-32705MEDIUMLack of ratelimit on public DAV endpointEPSS 1.7%CVE-2021-32703MEDIUMLack of ratelimit on shareinfo endpointEPSS 1.5%CVE-2021-41177HIGHRate-limits not working on instances without configured memory cache backendEPSS 1.5%CVE-2021-32678LOWRatelimit not applied on OCS API responsesEPSS 1.4%CVE-2021-32741MEDIUMLack of ratelimit on public share link mount endpointEPSS 1.3%CVE-2020-5141—A vulnerability in SonicOS allows a remote unauthenticated attacker to brute force Virtual Assist ticket ID in the firewall SSLVPN service. EPSS 1.3%CVE-2023-2758LOWContec CONPROSYS HMI System (CHS) v3.5.2 Denial of ServiceEPSS 1.0%CVE-2026-1685MEDIUMD-Link DIR-823X Login sub_40AC74 excessive authenticationEPSS 1.0%CVE-2025-3556MEDIUMScriptAndTools eCommerce-website-in-PHP login.php excessive authenticationEPSS 0.9%CVE-2025-3555MEDIUMScriptAndTools eCommerce-website-in-PHP login.php excessive authenticationEPSS 0.9%CVE-2025-9004MEDIUMmtons mblog password excessive authenticationEPSS 0.9%CVE-2025-12547MEDIUMLogicalDOC Community Edition Admin Login login.jsp excessive authenticationEPSS 0.8%CVE-2024-34695MEDIUMWOWS Karma vulnerable to a post submission bounce/timing attackEPSS 0.8%CVE-2026-24017HIGHAn Improper Control of Interaction Frequency vulnerability [CWE-799] vulnerability in Fortinet FortiWeb 8.0.0 through 8.0.2, FortiWeb 7.6.0 EPSS 0.8%CVE-2024-6890CRITICALJournyx Unauthenticated Password Reset BruteforceEPSS 0.7%CVE-2023-27279MEDIUMIBM Aspera Faspex denial of serviceEPSS 0.7%CVE-2026-2110MEDIUMTasin1025 SwiftBuy login.php excessive authenticationEPSS 0.7%