Falhas do tipo CWE-799

97 resultados

Controle inadequado de frequência de interações

A aplicação não limita adequadamente quantas vezes um usuário ou cliente pode executar uma ação em um período determinado. Isso permite que um atacante abuse de funcionalidades críticas (autenticação, API, processamento) sem encontrar barreiras de taxa ou throttling, causando negação de serviço, força bruta bem-sucedida ou consumo excessivo de recursos.

Exemplo

Um endpoint de login não implementa rate limiting: um atacante escreve um script que testa 10 mil senhas por segundo contra a mesma conta, sem ser bloqueado. Ou uma API de SMS não limita requisições, permitindo envio de milhares de mensagens em segundos por um único cliente.

Como mitigar

Implemente rate limiting com limites por IP, sessão ou usuário (ex: máximo 5 tentativas de login a cada 15 minutos). Use tokens de throttle, CAPTCHA após N tentativas, ou bloqueio temporário. Monitore padrões de uso anormal e aplique controles progressivos conforme o risco detectado.

CVE-2025-32378MEDIUMShopware's default newsletter opt-in settings allow for mass sign-up abuseEPSS 0.3%CVE-2026-115480MEDIUMbaserCMS: Public Web API mail-form submission bypasses image CAPTCHAEPSS 0.3%CVE-2026-100603HIGHClawHub before 8c2de6c506 Skill Hiding via Coordinated ReportsEPSS 0.3%CVE-2024-11126LOWDigistar AG-30 Plus Login Page excessive authenticationEPSS 0.3%CVE-2026-96364MEDIUMWebform - Moderately critical - Access bypass - SA-CONTRIB-2026-171EPSS 0.3%CVE-2025-13212MEDIUMIBM Aspera Console Denial of ServiceEPSS 0.3%CVE-2026-63399MEDIUMCoop: Unauthenticated org provisioning via GraphQL Mutation.createOrgEPSS 0.3%CVE-2024-47065LOWTraceroute_APP responses are not rate-limited.EPSS 0.3%CVE-2025-55268MEDIUMHCL Aftermarket DPC is affected by Spamming VulnerabilityEPSS 0.3%CVE-2025-1629MEDIUMExcitel Broadband Private my Excitel App One-Time Password excessive authenticationEPSS 0.2%CVE-2025-48016MEDIUMImproper Control of Interaction FrequencyEPSS 0.2%CVE-2024-5617MEDIUMAccount Lock Bypass via User Store Synchronization in Multiple WSO2 Products Allows Brute Force AttacksEPSS 0.2%CVE-2026-97300MEDIUMWordPress WP Event Solution plugin <= 4.1.25 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-5233HIGHMissing Rate Limiting in Mia Technologies' Pizzy LibraryEPSS 0.2%CVE-2026-82924MEDIUMPII Enumeration via Missing Rate Limiting in Pusula Communication's Expert MailEPSS 0.2%CVE-2026-115359MEDIUMOpenBao before 2.6.4 and 2.7.0 before 2.7.1 Role-Based Rate Limit Quota Bypass via Request ParsingEPSS 0.2%CVE-2024-0094MEDIUMCVEEPSS 0.1%