CWE-834КлассНеполный
Избыточная итерация
Продукт выполняет итерацию или цикл без достаточного ограничения числа повторений.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
—
Связанные уязвимости
CVE-2025-56571Finance.js v4.1.0 содержит уязвимость типа отказ в обслуживании (DoS), возникающую из‑за параметра depth функции IRR. Параметр depth берётся из входного объекта cfs без надлежащей проверки, а затем используется как лимит итераций рекурсии/повторений. При слишком большом значении глубины происходит бесконтрольное увеличение количества вычислений, что приводит к чрезмерной загрузке CPU и может вызвать зависание или крах приложения. Поскольку проверка значения depth отсутствует, атакующий может передать произвольно большое число, провоцируя бесконечный цикл в методе IRR (см. исходный код функции) [1].
Источники:
- [1] http://financejs.com
- [2] https://github.com/ebradyjobory/finance.js
- [3] https://raw.githack.com/ebradyjobory/finance.js/6d571ea2a86d08491ceb584e292e9b76b0a60636/finance.js
- [4] https://medium.com/@nakah_/cve-2025-56571-and-cve-2025-56572-denial-of-service-vulnerabilities-in-finance-js-78f8b399f53b
CVE-2024-4227В Genivia gSOAP с определенной конфигурацией не прошедший проверку подлинности удаленный злоумышленник может создавать высокую загрузку ЦП, принудительно анализируя XML с повторяющимися атрибутами ID, что может привести к DoS.
CVE-2023-49316В Math/BinaryField.php в phpseclib 3 до 3.0.34 чрезмерно большие степени могут привести к отказу в обслуживании.
CVE-2023-4043В Eclipse Parsson до версий 1.1.4 и 1.0.5 синтаксический анализ JSON из ненадежных источников может привести к тому, что злоумышленники смогут использовать тот факт, что встроенная поддержка синтаксического анализа чисел с большим масштабом в Java имеет ряд крайних случаев, когда входной текст числа может привести к гораздо большему времени обработки, чем можно было бы ожидать.
Чтобы снизить риск, parsson установил ограничение на размер чисел, а также на их масштаб.
CVE-2023-26513Уязвимость чрезмерной итерации в Apache Software Foundation Apache Sling Resource Merger. Эта проблема затрагивает Apache Sling Resource Merger: с 1.2.0 до 1.4.2.
CVE-2022-0585Большие циклы во множестве анализаторов протоколов в Wireshark 3.6.0–3.6.1 и 3.4.0–3.4.11 позволяют злоумышленнику вызвать отказ в обслуживании посредством инъекции пакетов или специально созданного файла захвата.
CVE-2021-4190Большой цикл в дизассемблере Kafka в Wireshark 3.6.0 позволяет осуществить отказ в обслуживании через инъекцию пакетов или специально созданный файл захвата.
CVE-2021-39924Большой цикл в дизассемблере Bluetooth DHT в Wireshark 3.4.0–3.4.9 и 3.2.0–3.2.17 позволяет вызвать отказ в обслуживании посредством инъекции пакетов или специально созданного файла захвата.
CVE-2021-39923Большой цикл в дизассемблере PNRP в Wireshark 3.4.0–3.4.9 и 3.2.0–3.2.17 позволяет вызвать отказ в обслуживании посредством инъекции пакетов или специально созданного файла захвата.
CVE-2021-39204Pomerium - это прокси-сервер с открытым исходным кодом, учитывающий идентификацию. Envoy, на котором основан Pomerium, неправильно обрабатывает сброс потоков HTTP/2 с чрезмерной сложностью. Это может привести к высокой загрузке ЦП при сбросе большого количества потоков. Это может привести к состоянию DoS. Версии Pomerium 0.14.8 и 0.15.1 содержат обновленный двоичный файл envoy с исправленной уязвимостью.
CVE-2021-35515При чтении специально созданного архива 7Z создание списка кодеков, которые распаковывают запись, может привести к бесконечному циклу. Это можно использовать для организации атаки типа "отказ в обслуживании" на сервисы, использующие пакет sevenz Compress.
CVE-2021-32778Envoy — это прокси-сервер L7 с открытым исходным кодом и коммуникационная шина, предназначенные для современных архитектур, ориентированных на крупные сервисы. В уязвимых версиях процедура Envoy для сброса потока HTTP/2 имеет сложность O(N^2), что приводит к высокой загрузке ЦП при сбросе большого количества потоков. Развертывания подвержены отказу в обслуживании, когда Envoy настроен с высоким ограничением на количество параллельных потоков H/2. Злоумышленнику, желающему воспользоваться этой уязвимостью, потребуется клиент, открывающий и закрывающий большое количество потоков H/2. Envoy версий 1.19.1, 1.18.4, 1.17.4, 1.16.5 содержат исправления, позволяющие снизить временную сложность сброса потоков HTTP/2. В качестве обходного решения пользователи могут ограничить количество одновременных потоков HTTP/2 для восходящих и нисходящих узлов небольшим числом, например 100.
CVE-2021-3128В ASUS RT-AX3000, ZenWiFi AX (XT8), RT-AX88U и других маршрутизаторах ASUS с прошивкой < 3.0.0.4.386.42095 или < 9.0.0.4.386.41994, когда используется IPv6, может возникнуть петля маршрутизации, которая создает избыточный сетевой трафик между затронутым устройством и маршрутизатором вышестоящего интернет-провайдера. Это происходит, когда маршрут префикса канала указывает на канал типа "точка-точка", IPv6-адрес назначения принадлежит префиксу и не является локальным IPv6-адресом, и получено объявление маршрутизатора по крайней мере с одним глобальным уникальным префиксом IPv6, для которого установлен флаг on-link.
CVE-2021-3125В TP-Link TL-XDR3230 < 1.0.12, TL-XDR1850 < 1.0.9, TL-XDR1860 < 1.0.14, TL-XDR3250 < 1.0.2, TL-XDR6060 Turbo < 1.1.8, TL-XDR5430 < 1.0.11 и, возможно, другие, когда используется IPv6, может возникнуть петля маршрутизации, которая создает избыточный сетевой трафик между затронутым устройством и маршрутизатором вышестоящего интернет-провайдера. Это происходит, когда маршрут префикса канала указывает на канал типа "точка-точка", IPv6-адрес назначения принадлежит префиксу и не является локальным IPv6-адресом, и получено объявление маршрутизатора по крайней мере с одним глобальным уникальным префиксом IPv6, для которого установлен флаг on-link.
CVE-2021-23270В Gargoyle OS 1.12.0 при использовании IPv6 может возникнуть петля маршрутизации, которая генерирует избыточный сетевой трафик между затронутым устройством и маршрутизатором вышестоящего интернет-провайдера. Это происходит, когда маршрут префикса канала указывает на двухточечный канал, адрес IPv6 назначения принадлежит префиксу и не является локальным адресом IPv6, и получено объявление маршрутизатора по крайней мере с одним глобальным уникальным префиксом IPv6, для которого установлен флаг on-link.