Falhas do tipo CWE-789

251 resultados

Alocação descontrolada de memória

Ocorre quando uma aplicação aloca memória em quantidade determinada por entrada do usuário sem validação ou limite. Um atacante fornece valores muito grandes, causando consumo excessivo de RAM, negação de serviço ou travamento do sistema.

Exemplo

Uma API aceita um parâmetro 'tamanho_array' e aloca memória diretamente: malloc(tamanho_array * sizeof(int)). Se o atacante enviar tamanho_array = 2 bilhões, a alocação falha ou consome toda a memória disponível, derrubando o serviço.

Como mitigar

Implemente limites máximos hardcoded para alocações baseadas em entrada externa. Valide e sanitize parâmetros de tamanho antes de usar, rejeitando valores acima de um threshold sensato. Monitore consumo de memória por requisição e implemente rate limiting.

CVE-2026-42146MEDIUMCImg Library: Uncontrolled memory allocation via nb_colors field in _load_bmpEPSS 0.1%CVE-2026-86776MEDIUMKeePass 2.35 through 2.61.1 Memory Exhaustion via KDBX Header Field SizeEPSS 0.1%CVE-2026-17535MEDIUMVelociraptor Multiple Crashes in NTFS Parser when applied to invalid NTFS VolumesEPSS 0.1%CVE-2018-25274MEDIUMInfraRecorder 0.53 Denial of Service via txt File ImportEPSS 0.1%CVE-2026-85201MEDIUMIn Eclipse Ankaios versions 0.1.0 through 1.0.1, the agent does not limit the length declared by a workload in a length-delimited protobuf mEPSS 0.1%CVE-2026-47319MEDIUMMemory allocation with excessive size value vulnerability in Samsung Open Source rlottie allows Excessive Allocation. This issue affects rlEPSS 0.1%CVE-2026-77619HIGHVector: Unauthenticated denial of service in the `logstash` source via unbounded memory allocation.EPSS —CVE-2026-96260MEDIUMMattermost server missing request body size limit on plugin routes allows denial of service by an authenticated userEPSS —CVE-2026-58268HIGHSIPGO: DoS via unvalidated Content-Length in the stream parserEPSS —CVE-2026-59991HIGHpsd-tools: Uncontrolled memory allocation in psd-tools composite/numpy via crafted PSD geometryEPSS —CVE-2026-77322HIGHSIPGO: DoS via unvalidated WebSocket frame lengthEPSS —