Falhas do tipo CWE-834
53 resultadosIteração excessiva
Ocorre quando um código realiza loops ou recursões sem limite adequado de iterações, permitindo que um atacante force consumo excessivo de CPU ou memória. O programa não valida ou restringe o número de vezes que um processo é repetido, criando condição para negação de serviço.
Exemplo
Um parser que processa um arquivo JSON com arrays aninhados infinitamente, ou um loop que não tem condição de saída clara baseada em entrada do usuário — ambos podem ser explorados para travar a aplicação ao forçar bilhões de iterações.
Como mitigar
Implemente limites explícitos em loops (máximo de iterações, profundidade de recursão, tamanho de entrada) e valide dados de entrada antes de processar. Use timeouts e monitore consumo de recursos durante execução.
CVE-2026-90798LOWApache CouchDB: Replicator follows redirects indefinitelyEPSS 0.6%CVE-2025-67726HIGHTornado is Vulnerable to Quadratic DoS via Crafted Multipart ParametersEPSS 0.5%CVE-2026-77357HIGHMesop: DoS in /hot-reload endpoint allows unauthenticated attacker to exhaust worker threads and crash the serverEPSS 0.5%CVE-2022-3616MEDIUMOctoRPKI crash when maximum iterations number is reachedEPSS 0.5%CVE-2026-59644HIGHMLS hash-ratchet honours arbitrary 32-bit generation counter from senderEPSS 0.5%CVE-2026-34043MEDIUMSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objectsEPSS 0.5%CVE-2023-33953HIGHDenial-of-Service in gRPCEPSS 0.5%CVE-2025-62707MEDIUMpypdf affected by possible infinite loop when reading DCT inline images without EOF markerEPSS 0.4%CVE-2025-56571HIGHFinance.js v4.1.0 contains a Denial of Service (DoS) vulnerability via the IRR function’s depth parameter. Improper handling of the recursioEPSS 0.4%CVE-2024-8049MEDIUMTelerik Document Processing Improper Handling of Memory ResourcesEPSS 0.4%CVE-2026-106576MEDIUMImageMagick: Denial of service possible when parsing an XMP profile.EPSS 0.4%CVE-2026-115580HIGHpypdf: Possible long runtimes for large xref table header limitsEPSS 0.4%CVE-2026-81872MEDIUMOpenTelemetry-Go: BatchProcessor can busy-spin when export buffer is fullEPSS 0.4%CVE-2026-109299HIGHOpen WebUI 0.9.0 before 0.11.4 Denial of Service via Recurrence Rule ValidationEPSS 0.4%CVE-2025-6714HIGHIncorrect Handling of incomplete data may prevent mongoS from Accepting New ConnectionsEPSS 0.4%CVE-2026-53493MEDIUMContainerd has image-pull DoS via crafted OCI index graph amplificationEPSS 0.4%CVE-2026-40347MEDIUMPython-Multipart affected by Denial of Service via large multipart preamble or epilogue dataEPSS 0.4%CVE-2026-87721HIGHDenial of Service via Exponential Backtracking in ANTLR Search Query Parser in Gerrit Code ReviewEPSS 0.3%CVE-2026-45680MEDIUMOpenTelemetry eBPF Instrumentation: Unbounded BPF internal metrics replay can exhaust CPUEPSS 0.3%CVE-2025-55181MEDIUMSending an HTTP request/response body with greater than 2^31 bytes triggers an infinite loop in proxygen::coro::HTTPQuicCoroSession which blEPSS 0.3%