Falhas do tipo CWE-674

458 resultados

Recursão descontrolada

Acontece quando uma função chama a si mesma (ou é chamada indiretamente por outra) sem limite adequado de profundidade, consumindo toda a memória da pilha (stack overflow). O atacante pode fornecer entrada malformada ou estruturas aninhadas excessivas para disparar recursões infinitas e derrubar a aplicação.

Exemplo

Um parser XML ou JSON que processa estruturas aninhadas recursivamente: se o atacante envia um documento com milhares de níveis de aninhamento, cada chamada recursiva consome espaço da pilha até esgotar e derrubar o processo. Outro caso: função que processa árvores sem verificar profundidade máxima.

Como mitigar

Implemente limite explícito de profundidade (máximo de níveis de recursão) e valide entrada antes de processar. Use iteração (loop) em vez de recursão quando possível, ou monitore o consumo de pilha em tempo de execução com alertas de limite.

CVE-2026-9740HIGHUnbounded recursion in BSONColumn interleaved-reference causes pre-auth stack overflowEPSS 0.3%CVE-2026-95155HIGHFasterXML Jackson 1.x, confirmed in jackson-mapper-asl versions 1.8.3, 1.9.2, 1.9.11, 1.9.12, and 1.9.13, allows attackers to cause a denialEPSS 0.3%CVE-2026-102265MEDIUMPyJWT: Uncaught RecursionError in jwt.decode() on deeply nested token headerEPSS 0.3%CVE-2026-41680HIGHMarked: OOM Denial of Service via Infinite Recursion in marked TokenizerEPSS 0.3%CVE-2026-96288HIGHApache Thrift: Erlang generated struct reads have no recursion-depth guard (unbounded memory)EPSS 0.3%CVE-2026-96289HIGHApache Thrift: php `--gen php:inlined` struct readers (and `TProtocol::skipBinary`) have no recursion-depth guardEPSS 0.3%CVE-2026-39376HIGHFastFeedParser has an infinite redirect loop DoS via meta-refresh chainEPSS 0.3%CVE-2026-106972HIGHUncontrolled recursion in MessagePack\BufferUnpacker::unpack() in rybakit/msgpack versions prior to 0.11.0 allows attackers to cause a deniaEPSS 0.3%CVE-2026-88858MEDIUMServer-side expression parser denial of serviceEPSS 0.3%CVE-2026-121423HIGHSurrealDB before 3.3.0 DoS via Unbounded Recursion in val::Value SerializationEPSS 0.3%CVE-2026-74783HIGHScriban 6.6.0 through 7.2.0 Parser Recursion Denial of ServiceEPSS 0.3%CVE-2026-9769HIGHjusthtml before 1.10.0 Denial of Service via deeply nested HTMLEPSS 0.3%CVE-2025-65519MEDIUMmayswind ezbookkeeping versions 1.2.0 and earlier contain a critical vulnerability in JSON and XML file import processing. The application fEPSS 0.3%CVE-2026-119542MEDIUMOrg.infinispan/infinispan-query: infinispan: deeply nested ickle queries can trigger a stackoverflowerrorEPSS 0.3%CVE-2026-66282MEDIUMAuthenticated Denial-of-Service in Zigbee Publish Billing PeriodEPSS 0.3%CVE-2026-110974MEDIUMUncontrolled Recursion on Nested JSON Allows Denial of Service in android-jsonEPSS 0.3%CVE-2026-49941HIGHNet::CIDR::Set versions through 0.20 for Perl did not validate IP addressesEPSS 0.3%CVE-2026-40879HIGHNest: DoS via Recursive handleData in JsonSocket (TCP Transport)EPSS 0.3%CVE-2026-102510HIGHApache PLC4X: Go binding: unbounded allocation and framing failures on wire-controlled lengthsEPSS 0.3%CVE-2026-112072MEDIUMvault-java-driver: stored deeply nested JSON kills every thread that reads itEPSS 0.3%