Fallos del tipo CWE-799

81 resultados

Controle inadequado da frequência de interações

Ocorre quando uma aplicação não limita corretamente quantas vezes um usuário pode executar uma ação em um período de tempo. Isso permite que atacantes disparem requisições em massa — login repetido, consumo de recursos, abuso de APIs — degradando o serviço ou contornando proteções como CAPTCHA e validações de email.

Ejemplo

Um endpoint de recuperação de senha sem rate limiting permite que um atacante envie 10 mil requisições por minuto, gerando emails em massa para um usuário alvo ou forçando o envio de tokens válidos até adivinhar um. Outro cenário: API de busca sem throttling deixa um bot fazer 100 mil queries por hora, consumindo banda e CPU do servidor.

Cómo mitigar

Implemente rate limiting baseado em IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use bibliotecas como express-rate-limit, nginx rate_limit ou WAF rules. Para APIs sensíveis, combine com CAPTCHA, throttling, e alertas de anomalia em padrões de requisições.

CVE-2023-40332MEDIUMWordPress WP-PostRatings plugin <= 1.91 - Rating limit Bypass vulnerabilityEPSS 0.4%CVE-2025-57816MEDIUMFides Webserver API Rate Limiting Vulnerability in Proxied EnvironmentsEPSS 0.4%CVE-2026-54738MEDIUMLemmy: Rate limit bypass via X-Forwarded-For header spoofing in actix-web ConnectionInfoEPSS 0.4%CVE-2025-12310MEDIUMVirtFusion Email Change _settings excessive authenticationEPSS 0.4%CVE-2025-13882MEDIUMMultiple Security Vulnerabilities in IBM Sterling Partner Engagement Manager.EPSS 0.4%CVE-2024-24873MEDIUMWordPress Polls CP plugin <= 1.0.71 - Polls Limitation Bypass vulnerabilityEPSS 0.4%CVE-2026-41346MEDIUMOpenClaw 2026.2.26 < 2026.3.31 - Denial of Service via Improper Pending Pairing Request Cap EnforcementEPSS 0.4%CVE-2026-10216MEDIUMunitedbyai droidclaw claim Endpoint pairing.ts excessive authenticationEPSS 0.4%CVE-2026-19895MEDIUMopensourcepos Open Source Point of Sale Login Endpoint Filters.php index excessive authenticationEPSS 0.4%CVE-2024-23565MEDIUMHCL Aftermarket EPC is vulnerable to email flooding as the application does not have a proper mail limitation mechanism at Forget Password fEPSS 0.4%CVE-2026-33434MEDIUMWazuh: Rate Limit Bypass via /events EndpointEPSS 0.4%CVE-2023-40673MEDIUMWordPress Cartpauj Register Captcha plugin <= 1.0.02 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2026-1409LOWBeetel 777VR1 UART excessive authenticationEPSS 0.4%CVE-2026-41333MEDIUMOpenClaw < 2026.3.31 - Authentication Rate Limiting Bypass via Fake DeviceTokenEPSS 0.4%CVE-2021-37191MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0 SP2). An unauthenticated attacker in the same netwoEPSS 0.4%CVE-2024-8475MEDIUMProtection Mechanism Failure in Digital Operation Services' WiFiBuradaEPSS 0.4%CVE-2025-29998HIGHNo Rate Limiting Vulnerability in CAP back office applicationEPSS 0.4%CVE-2026-7402HIGHImproper Rate Limiting in MeWare Software's PDKSEPSS 0.4%CVE-2026-19897MEDIUMmangroup dtale Login Endpoint auth.py login excessive authenticationEPSS 0.4%CVE-2024-13274MEDIUMOpen Social - Moderately critical - Denial of Service - SA-CONTRIB-2024-038EPSS 0.4%