Weaknesses of type CWE-799

71 results

Controle inadequado de frequência de interações

A aplicação não limita ou valida adequadamente a quantidade de requisições que um usuário ou cliente pode fazer em um período de tempo. Um atacante explora isso enviando múltiplas operações (login, compra, envio de mensagens) em alta frequência, causando negação de serviço, consumo de recursos ou bypass de proteções como rate limiting.

Example

Um endpoint de login aceita ilimitadamente tentativas de autenticação sem throttling. Um atacante envia 10 mil requisições por segundo, travando a aplicação e impedindo usuários legítimos de acessar. Ou em um carrinho de compras, múltiplas submissões simultâneas do pedido resultam em cobranças duplicadas.

How to mitigate

Implemente rate limiting (p.ex., máximo de 5 tentativas de login por IP em 15 minutos) e use mecanismos como token bucket ou sliding window. Para operações críticas, adicione validação de duplicação no servidor (idempotência) e CAPTCHA após threshold de tentativas.

CVE-2026-10216MEDIUMunitedbyai droidclaw claim Endpoint pairing.ts excessive authenticationEPSS 0.4%CVE-2025-57816MEDIUMFides Webserver API Rate Limiting Vulnerability in Proxied EnvironmentsEPSS 0.4%CVE-2023-40673MEDIUMWordPress Cartpauj Register Captcha plugin <= 1.0.02 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2026-41333MEDIUMOpenClaw < 2026.3.31 - Authentication Rate Limiting Bypass via Fake DeviceTokenEPSS 0.4%CVE-2021-37191MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0 SP2). An unauthenticated attacker in the same netwoEPSS 0.4%CVE-2024-8475MEDIUMProtection Mechanism Failure in Digital Operation Services' WiFiBuradaEPSS 0.4%CVE-2026-7402HIGHImproper Rate Limiting in MeWare Software's PDKSEPSS 0.4%CVE-2023-40332MEDIUMWordPress WP-PostRatings plugin <= 1.91 - Rating limit Bypass vulnerabilityEPSS 0.4%CVE-2024-13274MEDIUMOpen Social - Moderately critical - Denial of Service - SA-CONTRIB-2024-038EPSS 0.4%CVE-2025-29998HIGHNo Rate Limiting Vulnerability in CAP back office applicationEPSS 0.4%CVE-2026-1409LOWBeetel 777VR1 UART excessive authenticationEPSS 0.3%CVE-2026-30972MEDIUMParse Server has a rate limit bypass via batch request endpointEPSS 0.3%CVE-2026-32729HIGHRuntipi has a TOTP two-factor authentication bypass via unrestricted brute-force on `/api/auth/verify-totp`EPSS 0.3%CVE-2025-52570LOWLetmein connection limiter allows an arbitrary amount of simultaneous connectionsEPSS 0.3%CVE-2023-51544MEDIUMWordPress RegistrationMagic plugin <= 5.2.5.0 - Form Submission Limit Bypass vulnerabilityEPSS 0.3%CVE-2024-9199MEDIUMRate limit vulnerability in Clibo ManagerEPSS 0.3%CVE-2026-22216MEDIUMwpDiscuz before 7.6.47 - No Rate Limiting on Subscription Endpoints with LIKE Wildcard BypassEPSS 0.3%CVE-2025-13211MEDIUMIBM Aspera Orchestrator Denial of ServiceEPSS 0.3%CVE-2025-7882LOWMercusys MW301R Login excessive authenticationEPSS 0.3%CVE-2025-32378MEDIUMShopware's default newsletter opt-in settings allow for mass sign-up abuseEPSS 0.3%