CWE-835 è una classe di debolezza per il codice che può entrare in un ciclo infinito o continuare a essere eseguito senza una valida condizione di uscita. In pratica, il software continua a consumare tempo CPU e può smettere di progredire, anche se non è andato in crash.
Questo è importante nella sicurezza informatica perché un attaccante o un input malformato possono talvolta attivare il percorso logico errato e creare una condizione di denial-of-service. Nei controller industriali, nei parser, nei gestori di protocollo e nella logica di sicurezza, la sensibilità è particolarmente elevata: un ciclo bloccato può ritardare le decisioni di controllo, far scattare uno stato di guasto o imporre un ripristino manuale. I difensori cercano cicli limitati, controlli di terminazione chiari, convalida dell'input, gestione dei timeout e watchdog in grado di interrompere la logica fuori controllo. Mappare un bug a CWE-835 aiuta i team a capire che il rischio principale è la disponibilità, non l'esecuzione di codice o il furto di dati, e guida i test verso input malformati, casi limite e comportamento di ripristino.