Weaknesses of type CWE-408

7 results

Amplificação antecipada de requisições

A aplicação processa e amplifica uma requisição do usuário antes de validar se ela é legítima, permitindo que um atacante dispare ações custosas (como envio de emails, consultas a banco de dados ou requisições externas) sem autenticação ou autorização prévia. O resultado é desperdício de recursos e potencial negação de serviço.

Example

Um sistema de recuperação de senha envia um email de reset para qualquer endereço fornecido, sem verificar se o usuário existe ou se a solicitação é legítima. Um atacante fornece o email de um concorrente e causa envio em massa de mensagens de reset, prejudicando a reputação e consumindo recursos do servidor.

How to mitigate

Valide e autentique a requisição *antes* de executar operações caras (envios, queries complexas, integrações externas). Implemente rate-limiting, verificação de existência de recurso, e autorização explícita antes de qualquer ação que consuma recursos significativos.

CVE-2020-1657HIGHJunos OS: SRX Series: An attacker sending spoofed packets to IPSec peers may cause a Denial of Service.EPSS 1.3%CVE-2022-2576—In Eclipse Californium version 2.0.0 to 2.7.2 and 3.0.0-3.5.0 a DTLS resumption handshake falls back to a DTLS full handshake on a parameterEPSS 0.6%CVE-2026-11605HIGHUnnecessary validation of DNSSEC signed recordsEPSS 0.5%CVE-2026-41405HIGHOpenClaw < 2026.3.31 - Resource Exhaustion via Unauthenticated MS Teams Webhook Body ParsingEPSS 0.5%CVE-2026-41374MEDIUMOpenClaw < 2026.3.31 - Resource Consumption via Discord Audio Preflight Before Member AuthorizationEPSS 0.5%CVE-2026-3592MEDIUMAmplification vulnerabilities via self-pointed glue recordsEPSS 0.4%CVE-2026-41331MEDIUMOpenClaw < 2026.3.31 - Resource Consumption via Unauthorized Telegram Audio Preflight TranscriptionEPSS 0.3%