Falhas do tipo CWE-799

81 resultados

Controle inadequado de frequência de interações

A aplicação não limita adequadamente quantas vezes um usuário ou cliente pode executar uma ação em um período determinado. Isso permite que um atacante abuse de funcionalidades críticas (autenticação, API, processamento) sem encontrar barreiras de taxa ou throttling, causando negação de serviço, força bruta bem-sucedida ou consumo excessivo de recursos.

Exemplo

Um endpoint de login não implementa rate limiting: um atacante escreve um script que testa 10 mil senhas por segundo contra a mesma conta, sem ser bloqueado. Ou uma API de SMS não limita requisições, permitindo envio de milhares de mensagens em segundos por um único cliente.

Como mitigar

Implemente rate limiting com limites por IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use tokens de throttle, CAPTCHA após N tentativas, ou bloqueio temporário. Monitore padrões de uso anormal e aplique controles progressivos conforme o risco detectado.

CVE-2026-85586MEDIUMphpMyFAQ before 4.1.8 CAPTCHA Bypass via store parameterEPSS 0.4%CVE-2025-13211MEDIUMIBM Aspera Orchestrator Denial of ServiceEPSS 0.4%CVE-2025-52570LOWLetmein connection limiter allows an arbitrary amount of simultaneous connectionsEPSS 0.4%CVE-2026-30972MEDIUMParse Server has a rate limit bypass via batch request endpointEPSS 0.3%CVE-2026-32729HIGHRuntipi has a TOTP two-factor authentication bypass via unrestricted brute-force on `/api/auth/verify-totp`EPSS 0.3%CVE-2026-54594MEDIUMOmniBlocks: Spamming in Discussions tab possible via disc.ymlEPSS 0.3%CVE-2023-51544MEDIUMWordPress RegistrationMagic plugin <= 5.2.5.0 - Form Submission Limit Bypass vulnerabilityEPSS 0.3%CVE-2024-9199MEDIUMRate limit vulnerability in Clibo ManagerEPSS 0.3%CVE-2026-22216MEDIUMwpDiscuz before 7.6.47 - No Rate Limiting on Subscription Endpoints with LIKE Wildcard BypassEPSS 0.3%CVE-2025-32378MEDIUMShopware's default newsletter opt-in settings allow for mass sign-up abuseEPSS 0.3%CVE-2025-7882LOWMercusys MW301R Login excessive authenticationEPSS 0.3%CVE-2025-52880MEDIUMKomga Vulnerable to Arbitrary Code Execution via Crafted EPUB FileEPSS 0.3%CVE-2024-11126LOWDigistar AG-30 Plus Login Page excessive authenticationEPSS 0.3%CVE-2025-13212MEDIUMIBM Aspera Console Denial of ServiceEPSS 0.3%CVE-2025-55268MEDIUMHCL Aftermarket DPC is affected by Spamming VulnerabilityEPSS 0.3%CVE-2025-36045MEDIUMTS4300 Tape Library addresses security vulnerabilityEPSS 0.3%CVE-2024-47065LOWTraceroute_APP responses are not rate-limited.EPSS 0.2%CVE-2025-1629MEDIUMExcitel Broadband Private my Excitel App One-Time Password excessive authenticationEPSS 0.2%CVE-2025-48016MEDIUMImproper Control of Interaction FrequencyEPSS 0.2%CVE-2026-5233HIGHMissing Rate Limiting in Mia Technologies' Pizzy LibraryEPSS 0.2%