Weaknesses of type CWE-799

71 results

Controle inadequado de frequência de interações

A aplicação não limita ou valida adequadamente a quantidade de requisições que um usuário ou cliente pode fazer em um período de tempo. Um atacante explora isso enviando múltiplas operações (login, compra, envio de mensagens) em alta frequência, causando negação de serviço, consumo de recursos ou bypass de proteções como rate limiting.

Example

Um endpoint de login aceita ilimitadamente tentativas de autenticação sem throttling. Um atacante envia 10 mil requisições por segundo, travando a aplicação e impedindo usuários legítimos de acessar. Ou em um carrinho de compras, múltiplas submissões simultâneas do pedido resultam em cobranças duplicadas.

How to mitigate

Implemente rate limiting (p.ex., máximo de 5 tentativas de login por IP em 15 minutos) e use mecanismos como token bucket ou sliding window. Para operações críticas, adicione validação de duplicação no servidor (idempotência) e CAPTCHA após threshold de tentativas.

CVE-2025-8927MEDIUMmtons mblog Verification Code send_code excessive authenticationEPSS 0.6%CVE-2025-11441MEDIUMJhumanJ OpnForm HTTP Header excessive authenticationEPSS 0.6%CVE-2025-8742MEDIUMmacrozheng mall Admin Login excessive authenticationEPSS 0.6%CVE-2026-7671MEDIUMCodeWise Tornet Scooter Mobile App TwoFactor excessive authenticationEPSS 0.6%CVE-2023-38068MEDIUMIn JetBrains YouTrack before 2023.1.16597 captcha was not properly validated for Helpdesk formsEPSS 0.5%CVE-2025-10761MEDIUMHarness Login Endpoint login excessive authenticationEPSS 0.5%CVE-2024-45788HIGHNo Rate Limiting VulnerabilityEPSS 0.5%CVE-2024-47654HIGHNo Rate Limiting vulnerabilityEPSS 0.5%CVE-2024-35246HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2024-32943HIGHWestermo L210-F2G Lynx Improper Control of Interaction FrequencyEPSS 0.5%CVE-2025-54321CRITICALIn Ascertia SigningHub through 8.6.8, there is a lack of rate limiting on the reset password function, leading to an email bombing vulnerabiEPSS 0.5%CVE-2024-48942CRITICALThe Syracom Secure Login (2FA) plugin for Jira, Confluence, and Bitbucket through 3.1.4.5 allows remote attackers to easily brute-force the EPSS 0.5%CVE-2026-41343MEDIUMOpenClaw < 2026.3.31 - Denial of Service via LINE Webhook Handler Pre-Auth ConcurrencyEPSS 0.5%CVE-2024-51557HIGHNo Rate Limiting Vulnerability in Wave 2.0EPSS 0.4%CVE-2025-26524MEDIUMNo Rate Limiting Vulnerability in RupeeWeb trading platformEPSS 0.4%CVE-2024-57603MEDIUMAn issue in MaysWind ezBookkeeping 0.7.0 allows a remote attacker to escalate privileges via the lack of rate limiting.EPSS 0.4%CVE-2025-12310MEDIUMVirtFusion Email Change _settings excessive authenticationEPSS 0.4%CVE-2025-5864MEDIUMTenda TDSEE App Password Reset Confirmation Code ConfirmSmsCode excessive authenticationEPSS 0.4%CVE-2024-24873MEDIUMWordPress Polls CP plugin <= 1.0.71 - Polls Limitation Bypass vulnerabilityEPSS 0.4%CVE-2026-41346MEDIUMOpenClaw 2026.2.26 < 2026.3.31 - Denial of Service via Improper Pending Pairing Request Cap EnforcementEPSS 0.4%