Falhas do tipo CWE-770

1.861 resultados

Alocação de recursos sem limite (negação de serviço por esgotamento)

A aplicação aloca recursos (memória, conexões, arquivos, threads) a pedido de um usuário sem impor limites, permitindo que um atacante esgote todos os recursos disponíveis e derrube o serviço. É basicamente deixar a porta aberta para qualquer um encher a caixa d'água até transbordar.

Exemplo

Um servidor web que cria uma nova thread para cada requisição HTTP recebida, sem limite. Um atacante envia milhares de requisições simultâneas e esgota o pool de threads, tornando o servidor inresponsivo para usuários legítimos — é negação de serviço puro.

Como mitigar

Implemente limites rigorosos: rate limiting (requisições por IP/usuário), quotas de recursos, pool de threads/conexões com tamanho máximo, timeout em operações, e monitoramento de consumo. Valide tamanhos de entrada e rejeite alocações que excedam os limites configurados.

CVE-2026-7768HIGH@fastify/accepts-serializer vulnerable to Denial of Service via Unbounded Accept Header Cache GrowthEPSS 0.5%CVE-2026-54465MEDIUMwebsocket-driver: Memory exhaustion in HTTP header parserEPSS 0.5%CVE-2026-73062HIGHScriban 3.0.0 through 7.2.0 Denial of Service via Array MultiplicationEPSS 0.5%CVE-2026-9675HIGHundici WebSocket client vulnerable to denial of service via cumulative fragment bypassEPSS 0.5%CVE-2026-24514MEDIUMingress-nginx Admission Controller denial of serviceEPSS 0.5%CVE-2026-44453HIGHh2o is vulnerable to musl libc stack overflowEPSS 0.5%CVE-2026-52880HIGHKlever-Go: REST API slow-header connection exhaustion via Gin Engine.RunEPSS 0.5%CVE-2026-48804HIGHpython-socketio: Binary attachment accumulation can cause denial of serviceEPSS 0.5%CVE-2026-44433MEDIUMQuicly is vulnerable to memory exhaustionEPSS 0.5%CVE-2026-40898MEDIUMquic-go: HTTP/3 QPACK Trailer Expansion Memory ExhaustionEPSS 0.5%CVE-2026-57080HIGHNet::BitTorrent versions through 2.1.0 for Perl allow remote memory exhaustion via an uncapped peer-wire message-length prefixEPSS 0.5%CVE-2026-74788HIGHScriban before 7.0.0 Denial of Service via string.pad_left/pad_rightEPSS 0.5%CVE-2026-91990HIGHTornado before 6.5.8 Memory Amplification DoS via multipartEPSS 0.5%CVE-2026-37736HIGHAn issue in the JsonSanitizer.sanitize() component of OWASP json-sanitizer v1.2.3 allows attackers to cause a Denial of Service (DoS) via a EPSS 0.5%CVE-2026-26445HIGHstomper 5e2741e is vulnerable to Denial of Service. A malicious client can send partial STOMP frames and keep the TCP connections open, whicEPSS 0.5%CVE-2026-54463MEDIUMwebsocket-driver: Memory exhaustion via abuse of protocol length headersEPSS 0.5%CVE-2026-52879HIGHKlever-Go: Unbounded goroutine spawn on direct-message ingress enables peer-driven DoSEPSS 0.5%CVE-2025-57710LOWQsync CentralEPSS 0.5%CVE-2025-1477MEDIUMAllocation of Resources Without Limits or Throttling in GitLabEPSS 0.5%CVE-2025-58471LOWQsync CentralEPSS 0.5%