Falhas do tipo CWE-408

7 resultados

Amplificação precoce de comportamento incorreto

Ocorre quando o sistema executa uma ação custosa ou crítica (como envio de email, cálculo pesado, logging) *antes* de validar se aquela ação é realmente necessária ou autorizada. O resultado é desperdício de recursos ou exposição de informações quando a validação falha depois. O risco aumenta em cenários de negação de serviço (DoS) ou vazamento de dados.

Exemplo

Um serviço de recuperação de senha que envia um email de reset para qualquer endereço fornecido, sem antes verificar se o email está registrado no sistema. Um atacante pode listar emails válidos simplesmente observando se o email foi enviado, ou sobrecarregar o serviço de mailing com requisições falsas.

Como mitigar

Valide e autorize *antes* de executar operações custosas. No exemplo: verifique se o email existe e se a requisição é legítima antes de disparar o envio. Implemente rate limiting e CAPTCHAs para evitar abuso. Use fila de processamento assíncrono apenas após validação completa.

CVE-2020-1657HIGHJunos OS: SRX Series: An attacker sending spoofed packets to IPSec peers may cause a Denial of Service.EPSS 1.3%CVE-2022-2576—In Eclipse Californium version 2.0.0 to 2.7.2 and 3.0.0-3.5.0 a DTLS resumption handshake falls back to a DTLS full handshake on a parameterEPSS 0.6%CVE-2026-11605HIGHUnnecessary validation of DNSSEC signed recordsEPSS 0.5%CVE-2026-41405HIGHOpenClaw < 2026.3.31 - Resource Exhaustion via Unauthenticated MS Teams Webhook Body ParsingEPSS 0.5%CVE-2026-41374MEDIUMOpenClaw < 2026.3.31 - Resource Consumption via Discord Audio Preflight Before Member AuthorizationEPSS 0.5%CVE-2026-3592MEDIUMAmplification vulnerabilities via self-pointed glue recordsEPSS 0.4%CVE-2026-41331MEDIUMOpenClaw < 2026.3.31 - Resource Consumption via Unauthorized Telegram Audio Preflight TranscriptionEPSS 0.3%