Falhas do tipo CWE-799

71 resultados

Controle inadequado de frequência de interações

A aplicação não limita adequadamente quantas vezes um usuário ou cliente pode executar uma ação em um período determinado. Isso permite que um atacante abuse de funcionalidades críticas (autenticação, API, processamento) sem encontrar barreiras de taxa ou throttling, causando negação de serviço, força bruta bem-sucedida ou consumo excessivo de recursos.

Exemplo

Um endpoint de login não implementa rate limiting: um atacante escreve um script que testa 10 mil senhas por segundo contra a mesma conta, sem ser bloqueado. Ou uma API de SMS não limita requisições, permitindo envio de milhares de mensagens em segundos por um único cliente.

Como mitigar

Implemente rate limiting com limites por IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use tokens de throttle, CAPTCHA após N tentativas, ou bloqueio temporário. Monitore padrões de uso anormal e aplique controles progressivos conforme o risco detectado.

CVE-2023-35621HIGHMicrosoft Dynamics 365 Finance and Operations Denial of Service VulnerabilityEPSS 2.3%CVE-2016-6543—A captured MAC/device ID of an iTrack Easy can be registered under multiple user accounts allowing access to getgps GPS dataEPSS 2.2%CVE-2021-37910LOWASUS GT-AXE11000, RT-AX3000, RT-AX55, RT-AX58U, TUF-AX3000 - Improper AuthenticationEPSS 2.1%CVE-2021-32705MEDIUMLack of ratelimit on public DAV endpointEPSS 1.7%CVE-2021-32703MEDIUMLack of ratelimit on shareinfo endpointEPSS 1.5%CVE-2021-41177HIGHRate-limits not working on instances without configured memory cache backendEPSS 1.5%CVE-2021-32678LOWRatelimit not applied on OCS API responsesEPSS 1.4%CVE-2021-32741MEDIUMLack of ratelimit on public share link mount endpointEPSS 1.3%CVE-2020-5141—A vulnerability in SonicOS allows a remote unauthenticated attacker to brute force Virtual Assist ticket ID in the firewall SSLVPN service. EPSS 1.3%CVE-2023-2758LOWContec CONPROSYS HMI System (CHS) v3.5.2 Denial of ServiceEPSS 1.0%CVE-2026-1685MEDIUMD-Link DIR-823X Login sub_40AC74 excessive authenticationEPSS 1.0%CVE-2025-3556MEDIUMScriptAndTools eCommerce-website-in-PHP login.php excessive authenticationEPSS 0.9%CVE-2025-3555MEDIUMScriptAndTools eCommerce-website-in-PHP login.php excessive authenticationEPSS 0.9%CVE-2025-9004MEDIUMmtons mblog password excessive authenticationEPSS 0.9%CVE-2025-12547MEDIUMLogicalDOC Community Edition Admin Login login.jsp excessive authenticationEPSS 0.8%CVE-2024-34695MEDIUMWOWS Karma vulnerable to a post submission bounce/timing attackEPSS 0.8%CVE-2026-24017HIGHAn Improper Control of Interaction Frequency vulnerability [CWE-799] vulnerability in Fortinet FortiWeb 8.0.0 through 8.0.2, FortiWeb 7.6.0 EPSS 0.8%CVE-2024-6890CRITICALJournyx Unauthenticated Password Reset BruteforceEPSS 0.7%CVE-2023-27279MEDIUMIBM Aspera Faspex denial of serviceEPSS 0.7%CVE-2026-2110MEDIUMTasin1025 SwiftBuy login.php excessive authenticationEPSS 0.7%