Fallos del tipo CWE-799

81 resultados

Controle inadequado da frequência de interações

Ocorre quando uma aplicação não limita corretamente quantas vezes um usuário pode executar uma ação em um período de tempo. Isso permite que atacantes disparem requisições em massa — login repetido, consumo de recursos, abuso de APIs — degradando o serviço ou contornando proteções como CAPTCHA e validações de email.

Ejemplo

Um endpoint de recuperação de senha sem rate limiting permite que um atacante envie 10 mil requisições por minuto, gerando emails em massa para um usuário alvo ou forçando o envio de tokens válidos até adivinhar um. Outro cenário: API de busca sem throttling deixa um bot fazer 100 mil queries por hora, consumindo banda e CPU do servidor.

Cómo mitigar

Implemente rate limiting baseado em IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use bibliotecas como express-rate-limit, nginx rate_limit ou WAF rules. Para APIs sensíveis, combine com CAPTCHA, throttling, e alertas de anomalia em padrões de requisições.

CVE-2025-8927MEDIUMmtons mblog Verification Code send_code excessive authenticationEPSS 0.6%CVE-2025-11441MEDIUMJhumanJ OpnForm HTTP Header excessive authenticationEPSS 0.6%CVE-2025-8742MEDIUMmacrozheng mall Admin Login excessive authenticationEPSS 0.6%CVE-2026-7671MEDIUMCodeWise Tornet Scooter Mobile App TwoFactor excessive authenticationEPSS 0.6%CVE-2026-93650MEDIUMSaleor throttling.py get_client_ip excessive authenticationEPSS 0.6%CVE-2023-38068MEDIUMIn JetBrains YouTrack before 2023.1.16597 captcha was not properly validated for Helpdesk formsEPSS 0.5%CVE-2026-75773MEDIUMkarakeep-app karakeep Login Endpoint auth.ts authorize excessive authenticationEPSS 0.5%CVE-2024-45788HIGHNo Rate Limiting VulnerabilityEPSS 0.5%CVE-2025-10761MEDIUMHarness Login Endpoint login excessive authenticationEPSS 0.5%CVE-2024-47654HIGHNo Rate Limiting vulnerabilityEPSS 0.5%CVE-2026-19898MEDIUMVictoriaMetrics VMAuth Authentication Endpoint main.go requestHandler excessive authenticationEPSS 0.5%CVE-2025-5864MEDIUMTenda TDSEE App Password Reset Confirmation Code ConfirmSmsCode excessive authenticationEPSS 0.5%CVE-2024-35246HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2024-32943HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2025-54321CRITICALIn Ascertia SigningHub through 8.6.8, there is a lack of rate limiting on the reset password function, leading to an email bombing vulnerabiEPSS 0.5%CVE-2024-51557HIGHNo Rate Limiting Vulnerability in Wave 2.0EPSS 0.5%CVE-2024-48942CRITICALThe Syracom Secure Login (2FA) plugin for Jira, Confluence, and Bitbucket through 3.1.4.5 allows remote attackers to easily brute-force the EPSS 0.5%CVE-2026-41343MEDIUMOpenClaw < 2026.3.31 - Denial of Service via LINE Webhook Handler Pre-Auth ConcurrencyEPSS 0.5%CVE-2025-26524MEDIUMNo Rate Limiting Vulnerability in RupeeWeb trading platformEPSS 0.4%CVE-2024-57603MEDIUMAn issue in MaysWind ezBookkeeping 0.7.0 allows a remote attacker to escalate privileges via the lack of rate limiting.EPSS 0.4%