Falhas do tipo CWE-799

97 resultados

Controle inadequado de frequência de interações

A aplicação não limita adequadamente quantas vezes um usuário ou cliente pode executar uma ação em um período determinado. Isso permite que um atacante abuse de funcionalidades críticas (autenticação, API, processamento) sem encontrar barreiras de taxa ou throttling, causando negação de serviço, força bruta bem-sucedida ou consumo excessivo de recursos.

Exemplo

Um endpoint de login não implementa rate limiting: um atacante escreve um script que testa 10 mil senhas por segundo contra a mesma conta, sem ser bloqueado. Ou uma API de SMS não limita requisições, permitindo envio de milhares de mensagens em segundos por um único cliente.

Como mitigar

Implemente rate limiting com limites por IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use tokens de throttle, CAPTCHA após N tentativas, ou bloqueio temporário. Monitore padrões de uso anormal e aplique controles progressivos conforme o risco detectado.

CVE-2023-27279MEDIUMIBM Aspera Faspex denial of serviceEPSS 0.7%CVE-2026-93650MEDIUMSaleor throttling.py get_client_ip excessive authenticationEPSS 0.7%CVE-2025-8927MEDIUMmtons mblog Verification Code send_code excessive authenticationEPSS 0.7%CVE-2026-75773MEDIUMkarakeep-app karakeep Login Endpoint auth.ts authorize excessive authenticationEPSS 0.7%CVE-2025-8742MEDIUMmacrozheng mall Admin Login excessive authenticationEPSS 0.6%CVE-2026-19895MEDIUMopensourcepos Open Source Point of Sale Login Endpoint Filters.php index excessive authenticationEPSS 0.6%CVE-2025-11441MEDIUMJhumanJ OpnForm HTTP Header excessive authenticationEPSS 0.6%CVE-2026-19897MEDIUMmangroup dtale Login Endpoint auth.py login excessive authenticationEPSS 0.6%CVE-2026-7671MEDIUMCodeWise Tornet Scooter Mobile App TwoFactor excessive authenticationEPSS 0.6%CVE-2026-54738MEDIUMLemmy: Rate limit bypass via X-Forwarded-For header spoofing in actix-web ConnectionInfoEPSS 0.6%CVE-2023-38068MEDIUMIn JetBrains YouTrack before 2023.1.16597 captcha was not properly validated for Helpdesk formsEPSS 0.5%CVE-2026-121535MEDIUMmiroslavpejic85 MiroTalk P2P Room Action server.js checkPassword excessive authenticationEPSS 0.5%CVE-2026-116123MEDIUMNocoDB signup validatePassword excessive authenticationEPSS 0.5%CVE-2025-54321CRITICALIn Ascertia SigningHub through 8.6.8, there is a lack of rate limiting on the reset password function, leading to an email bombing vulnerabiEPSS 0.5%CVE-2025-5864MEDIUMTenda TDSEE App Password Reset Confirmation Code ConfirmSmsCode excessive authenticationEPSS 0.5%CVE-2024-45788HIGHNo Rate Limiting VulnerabilityEPSS 0.5%CVE-2025-10761MEDIUMHarness Login Endpoint login excessive authenticationEPSS 0.5%CVE-2026-85586MEDIUMphpMyFAQ before 4.1.8 CAPTCHA Bypass via store parameterEPSS 0.5%CVE-2024-47654HIGHNo Rate Limiting vulnerabilityEPSS 0.5%CVE-2026-111874MEDIUMOpenCATS Career Portal CareersUI.php processLogin excessive authenticationEPSS 0.5%