Falhas do tipo CWE-1284

387 resultados

Validação inadequada de quantidade em entrada

Ocorre quando o software aceita entrada do usuário que especifica uma quantidade (número de items, tamanho de buffer, contagem de loops, etc.) sem validar se esse valor está dentro dos limites esperados. Um atacante pode fornecer uma quantidade excessiva, nula ou negativa, causando alocação de memória descontrolada, loops infinitos, underflow ou acesso a dados não inicializados.

Exemplo

Um serviço web recebe um parâmetro 'quantidade_registros' para retornar dados. Se não validar o valor, um atacante envia quantidade_registros=999999999, forçando alocação massiva de memória e negação de serviço; ou envia -1 e o código interpreta como unsigned, provocando comportamento inesperado.

Como mitigar

Valide explicitamente toda entrada que represente uma quantidade: defina limites mínimo e máximo aceitáveis, rejeite valores fora do intervalo, e use tipos numéricos apropriados (prefira unsigned para contagens, com overflow checks). Teste casos extremos (zero, negativo, muito grande).

CVE-2026-19873HIGHHTML::FormFu versions through 2.08 for Perl allow resource exhaustion via an unbounded repeat count from the query string in Repeatable elementsEPSS 0.5%CVE-2026-47667HIGHCImg Library: Uncontrolled Memory Allocation and Memory Leak in `_load_analyze()` via Crafted NIfTI/Analyze HeaderEPSS 0.5%CVE-2024-47257HIGHFlorent Thiéry has found that selected Axis devices were vulnerable to handling certain ethernet frames which could lead to the Axis device EPSS 0.5%CVE-2026-1528HIGHundici is vulnerable to Malicious WebSocket 64-bit length overflows undici parser and crashes the clientEPSS 0.5%CVE-2026-53794MEDIUMrsync < 3.5.0 Denial of Service via --max-alloc=0 Logic ErrorEPSS 0.5%CVE-2022-25769HIGHImproper regex in htaccess fileEPSS 0.5%CVE-2026-115274MEDIUMUnbounded integer parsing in JSON.decode/1 enables CPU and memory exhaustion denial of service in ElixirEPSS 0.5%CVE-2026-109821MEDIUMUnbounded port parsing in URI.parse/1 enables CPU exhaustion denial of service in ElixirEPSS 0.5%CVE-2026-73194CRITICALDBI versions before 1.652 for Perl allow a heap out-of-bounds write via an unvalidated numeric placeholder that sets the binder counter in preparseEPSS 0.5%CVE-2025-10094MEDIUMImproper Validation of Specified Quantity in Input in GitLabEPSS 0.5%CVE-2026-93345HIGHMikroTik RouterOS < 7.25beta4 Improper Input Validation DoS via BGP Labelled-VPN NLRIEPSS 0.5%CVE-2024-24715MEDIUMWordPress WordPress BookIt Plugin plugin <= 2.4.0 - Price Bypass Vulnerability vulnerabilityEPSS 0.5%CVE-2026-55952HIGHTLS 1.3 server denial of service via malformed ClientHello pre-shared key extensionEPSS 0.5%CVE-2026-31970HIGHHTSlib BGZF index file reader has a heap buffer overflowEPSS 0.5%CVE-2026-9801MEDIUMKeycloak: keycloak: denial of service via malformed ldap password policy responseEPSS 0.5%CVE-2026-48977HIGHOpenSlide: Arbitrary memory write with crafted Ventana BIF fileEPSS 0.5%CVE-2026-53587HIGHlibgit2 - Unauthenticated network-reachable heap out-of-bounds read in transports/smart_pkt.c:set_dataEPSS 0.5%CVE-2023-4439MEDIUMSourceCodester Card Holder Management System Minus Value unknown vulnerabilityEPSS 0.5%CVE-2026-33349MEDIUMfast-xml-parser: Entity Expansion Limits Bypassed When Set to Zero Due to JavaScript Falsy EvaluationEPSS 0.5%CVE-2026-76442HIGHCisco Secure Email Gateway Security Hardening ReleaseEPSS 0.5%