Weaknesses of type CWE-1275

25 results

Cookie sensível sem atributo SameSite adequado

Quando um cookie contém dados sensíveis (sessão, autenticação) mas não possui o atributo SameSite configurado ou está configurado como 'None', o navegador envia esse cookie em requisições cross-site, permitindo ataques CSRF (falsificação de requisição entre sites). Um atacante pode forçar um usuário autenticado a executar ações indesejadas em sua conta.

Example

Uma aplicação bancária seta um cookie de sessão sem SameSite. Um atacante publica um site malicioso que faz uma requisição POST invisível (transferência de dinheiro) para o banco. Se o usuário visita o site enquanto autenticado, o cookie de sessão é enviado automaticamente, e a transação é executada sem consentimento.

How to mitigate

Configure SameSite=Strict (ou Lax se necessário compatibilidade) em todos os cookies de sessão e autenticação. No servidor, adicione o header Set-Cookie com o atributo: 'Set-Cookie: sessionId=xyz; SameSite=Strict; Secure; HttpOnly'. Valide também a origem das requisições críticas usando CSRF tokens.

CVE-2024-6611CRITICALIncorrect handling of SameSite cookiesEPSS 0.7%CVE-2023-53957HIGHKimai 1.30.10 SameSite Cookie Vulnerability Session HijackingEPSS 0.5%CVE-2022-38386MEDIUMIBM Cloud Pak for Security information disclosureEPSS 0.5%CVE-2025-36134LOWIBM Sterling B2B Integrator and IBM Sterling File Gateway information disclosureEPSS 0.3%CVE-2024-42212MEDIUMHCL BigFix Compliance is affected by an improper or missing SameSite attributeEPSS 0.2%CVE-2026-55688MEDIUMAsyncHttpClient: Cookie stored for an unrelated domain (cookie tossing) via ThreadSafeCookieStoreEPSS 0.2%CVE-2024-43173LOWIBM Concert information disclosureEPSS 0.2%CVE-2024-30155MEDIUMHCL SX is susceptible to cookie with Insecure, Improper, or Missing SameSite attribute vulnerabilityEPSS 0.2%CVE-2025-52628MEDIUMHCL AION is susceptible to Missing SameSite vulnerabilityEPSS 0.2%CVE-2025-24387MEDIUMMissing CSRF protectionEPSS 0.1%CVE-2026-8409LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/logs/deleteEPSS 0.1%CVE-2026-8410LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/logs/bulk/deleteEPSS 0.1%CVE-2025-24897HIGHMisskey CSRF vulnerability due to insecure configuration of authentication cookie attributesEPSS 0.1%CVE-2026-8412LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/page/bulk/cacheEPSS 0.1%CVE-2026-8433LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/backend/file rescan()EPSS 0.1%CVE-2026-8411LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/page/bulk/deleteEPSS 0.1%CVE-2026-8414LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/event/duplicateEPSS 0.1%CVE-2026-8415LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorderEPSS 0.1%CVE-2026-8427LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/backend/file removeFavoriteFolder($id)EPSS 0.1%CVE-2026-8432LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/backend/file star()EPSS 0.1%