Fallos del tipo CWE-799

97 resultados

Controle inadequado da frequência de interações

Ocorre quando uma aplicação não limita corretamente quantas vezes um usuário pode executar uma ação em um período de tempo. Isso permite que atacantes disparem requisições em massa — login repetido, consumo de recursos, abuso de APIs — degradando o serviço ou contornando proteções como CAPTCHA e validações de email.

Ejemplo

Um endpoint de recuperação de senha sem rate limiting permite que um atacante envie 10 mil requisições por minuto, gerando emails em massa para um usuário alvo ou forçando o envio de tokens válidos até adivinhar um. Outro cenário: API de busca sem throttling deixa um bot fazer 100 mil queries por hora, consumindo banda e CPU do servidor.

Cómo mitigar

Implemente rate limiting baseado em IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use bibliotecas como express-rate-limit, nginx rate_limit ou WAF rules. Para APIs sensíveis, combine com CAPTCHA, throttling, e alertas de anomalia em padrões de requisições.

CVE-2024-35246HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2024-32943HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2024-51557HIGHNo Rate Limiting Vulnerability in Wave 2.0EPSS 0.5%CVE-2024-48942CRITICALThe Syracom Secure Login (2FA) plugin for Jira, Confluence, and Bitbucket through 3.1.4.5 allows remote attackers to easily brute-force the EPSS 0.5%CVE-2026-41343MEDIUMOpenClaw < 2026.3.31 - Denial of Service via LINE Webhook Handler Pre-Auth ConcurrencyEPSS 0.5%CVE-2026-54594MEDIUMOmniBlocks: Spamming in Discussions tab possible via disc.ymlEPSS 0.5%CVE-2025-26524MEDIUMNo Rate Limiting Vulnerability in RupeeWeb trading platformEPSS 0.4%CVE-2024-57603MEDIUMAn issue in MaysWind ezBookkeeping 0.7.0 allows a remote attacker to escalate privileges via the lack of rate limiting.EPSS 0.4%CVE-2023-40332MEDIUMWordPress WP-PostRatings plugin <= 1.91 - Rating limit Bypass vulnerabilityEPSS 0.4%CVE-2025-57816MEDIUMFides Webserver API Rate Limiting Vulnerability in Proxied EnvironmentsEPSS 0.4%CVE-2024-24873MEDIUMWordPress Polls CP plugin <= 1.0.71 - Polls Limitation Bypass vulnerabilityEPSS 0.4%CVE-2025-13882MEDIUMMultiple Security Vulnerabilities in IBM Sterling Partner Engagement Manager.EPSS 0.4%CVE-2026-41346MEDIUMOpenClaw 2026.2.26 < 2026.3.31 - Denial of Service via Improper Pending Pairing Request Cap EnforcementEPSS 0.4%CVE-2025-12310MEDIUMVirtFusion Email Change _settings excessive authenticationEPSS 0.4%CVE-2026-10216MEDIUMunitedbyai droidclaw claim Endpoint pairing.ts excessive authenticationEPSS 0.4%CVE-2026-105237MEDIUMlinlinjava litemall Login Endpoint AdminAuthController.java excessive authenticationEPSS 0.4%CVE-2024-23565MEDIUMHCL Aftermarket EPC is vulnerable to email flooding as the application does not have a proper mail limitation mechanism at Forget Password fEPSS 0.4%CVE-2026-122049MEDIUMCampcodes Bitcoin Wallet System ForgotPasswordController.php random_int excessive authenticationEPSS 0.4%CVE-2026-33434MEDIUMWazuh: Rate Limit Bypass via /events EndpointEPSS 0.4%CVE-2023-40673MEDIUMWordPress Cartpauj Register Captcha plugin <= 1.0.02 - Captcha Bypass vulnerabilityEPSS 0.4%