Falhas do tipo CWE-799

97 resultados

Controle inadequado de frequência de interações

A aplicação não limita adequadamente quantas vezes um usuário ou cliente pode executar uma ação em um período determinado. Isso permite que um atacante abuse de funcionalidades críticas (autenticação, API, processamento) sem encontrar barreiras de taxa ou throttling, causando negação de serviço, força bruta bem-sucedida ou consumo excessivo de recursos.

Exemplo

Um endpoint de login não implementa rate limiting: um atacante escreve um script que testa 10 mil senhas por segundo contra a mesma conta, sem ser bloqueado. Ou uma API de SMS não limita requisições, permitindo envio de milhares de mensagens em segundos por um único cliente.

Como mitigar

Implemente rate limiting com limites por IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use tokens de throttle, CAPTCHA após N tentativas, ou bloqueio temporário. Monitore padrões de uso anormal e aplique controles progressivos conforme o risco detectado.

CVE-2024-35246HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2024-32943HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2024-51557HIGHNo Rate Limiting Vulnerability in Wave 2.0EPSS 0.5%CVE-2024-48942CRITICALThe Syracom Secure Login (2FA) plugin for Jira, Confluence, and Bitbucket through 3.1.4.5 allows remote attackers to easily brute-force the EPSS 0.5%CVE-2026-41343MEDIUMOpenClaw < 2026.3.31 - Denial of Service via LINE Webhook Handler Pre-Auth ConcurrencyEPSS 0.5%CVE-2026-54594MEDIUMOmniBlocks: Spamming in Discussions tab possible via disc.ymlEPSS 0.5%CVE-2025-26524MEDIUMNo Rate Limiting Vulnerability in RupeeWeb trading platformEPSS 0.4%CVE-2024-57603MEDIUMAn issue in MaysWind ezBookkeeping 0.7.0 allows a remote attacker to escalate privileges via the lack of rate limiting.EPSS 0.4%CVE-2023-40332MEDIUMWordPress WP-PostRatings plugin <= 1.91 - Rating limit Bypass vulnerabilityEPSS 0.4%CVE-2025-57816MEDIUMFides Webserver API Rate Limiting Vulnerability in Proxied EnvironmentsEPSS 0.4%CVE-2024-24873MEDIUMWordPress Polls CP plugin <= 1.0.71 - Polls Limitation Bypass vulnerabilityEPSS 0.4%CVE-2025-13882MEDIUMMultiple Security Vulnerabilities in IBM Sterling Partner Engagement Manager.EPSS 0.4%CVE-2026-41346MEDIUMOpenClaw 2026.2.26 < 2026.3.31 - Denial of Service via Improper Pending Pairing Request Cap EnforcementEPSS 0.4%CVE-2025-12310MEDIUMVirtFusion Email Change _settings excessive authenticationEPSS 0.4%CVE-2026-10216MEDIUMunitedbyai droidclaw claim Endpoint pairing.ts excessive authenticationEPSS 0.4%CVE-2026-105237MEDIUMlinlinjava litemall Login Endpoint AdminAuthController.java excessive authenticationEPSS 0.4%CVE-2024-23565MEDIUMHCL Aftermarket EPC is vulnerable to email flooding as the application does not have a proper mail limitation mechanism at Forget Password fEPSS 0.4%CVE-2026-122049MEDIUMCampcodes Bitcoin Wallet System ForgotPasswordController.php random_int excessive authenticationEPSS 0.4%CVE-2026-33434MEDIUMWazuh: Rate Limit Bypass via /events EndpointEPSS 0.4%CVE-2023-40673MEDIUMWordPress Cartpauj Register Captcha plugin <= 1.0.02 - Captcha Bypass vulnerabilityEPSS 0.4%