Fallos del tipo CWE-799

97 resultados

Controle inadequado da frequência de interações

Ocorre quando uma aplicação não limita corretamente quantas vezes um usuário pode executar uma ação em um período de tempo. Isso permite que atacantes disparem requisições em massa — login repetido, consumo de recursos, abuso de APIs — degradando o serviço ou contornando proteções como CAPTCHA e validações de email.

Ejemplo

Um endpoint de recuperação de senha sem rate limiting permite que um atacante envie 10 mil requisições por minuto, gerando emails em massa para um usuário alvo ou forçando o envio de tokens válidos até adivinhar um. Outro cenário: API de busca sem throttling deixa um bot fazer 100 mil queries por hora, consumindo banda e CPU do servidor.

Cómo mitigar

Implemente rate limiting baseado em IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use bibliotecas como express-rate-limit, nginx rate_limit ou WAF rules. Para APIs sensíveis, combine com CAPTCHA, throttling, e alertas de anomalia em padrões de requisições.

CVE-2025-32378MEDIUMShopware's default newsletter opt-in settings allow for mass sign-up abuseEPSS 0.3%CVE-2026-115480MEDIUMbaserCMS: Public Web API mail-form submission bypasses image CAPTCHAEPSS 0.3%CVE-2026-100603HIGHClawHub before 8c2de6c506 Skill Hiding via Coordinated ReportsEPSS 0.3%CVE-2024-11126LOWDigistar AG-30 Plus Login Page excessive authenticationEPSS 0.3%CVE-2026-96364MEDIUMWebform - Moderately critical - Access bypass - SA-CONTRIB-2026-171EPSS 0.3%CVE-2025-13212MEDIUMIBM Aspera Console Denial of ServiceEPSS 0.3%CVE-2026-63399MEDIUMCoop: Unauthenticated org provisioning via GraphQL Mutation.createOrgEPSS 0.3%CVE-2024-47065LOWTraceroute_APP responses are not rate-limited.EPSS 0.3%CVE-2025-55268MEDIUMHCL Aftermarket DPC is affected by Spamming VulnerabilityEPSS 0.3%CVE-2025-1629MEDIUMExcitel Broadband Private my Excitel App One-Time Password excessive authenticationEPSS 0.2%CVE-2025-48016MEDIUMImproper Control of Interaction FrequencyEPSS 0.2%CVE-2024-5617MEDIUMAccount Lock Bypass via User Store Synchronization in Multiple WSO2 Products Allows Brute Force AttacksEPSS 0.2%CVE-2026-97300MEDIUMWordPress WP Event Solution plugin <= 4.1.25 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-5233HIGHMissing Rate Limiting in Mia Technologies' Pizzy LibraryEPSS 0.2%CVE-2026-82924MEDIUMPII Enumeration via Missing Rate Limiting in Pusula Communication's Expert MailEPSS 0.2%CVE-2026-115359MEDIUMOpenBao before 2.6.4 and 2.7.0 before 2.7.1 Role-Based Rate Limit Quota Bypass via Request ParsingEPSS 0.2%CVE-2024-0094MEDIUMCVEEPSS 0.1%