Weaknesses of type CWE-1275

34 results

Cookie sensível sem atributo SameSite adequado

Quando um cookie contém dados sensíveis (sessão, autenticação) mas não possui o atributo SameSite configurado ou está configurado como 'None', o navegador envia esse cookie em requisições cross-site, permitindo ataques CSRF (falsificação de requisição entre sites). Um atacante pode forçar um usuário autenticado a executar ações indesejadas em sua conta.

Example

Uma aplicação bancária seta um cookie de sessão sem SameSite. Um atacante publica um site malicioso que faz uma requisição POST invisível (transferência de dinheiro) para o banco. Se o usuário visita o site enquanto autenticado, o cookie de sessão é enviado automaticamente, e a transação é executada sem consentimento.

How to mitigate

Configure SameSite=Strict (ou Lax se necessário compatibilidade) em todos os cookies de sessão e autenticação. No servidor, adicione o header Set-Cookie com o atributo: 'Set-Cookie: sessionId=xyz; SameSite=Strict; Secure; HttpOnly'. Valide também a origem das requisições críticas usando CSRF tokens.

CVE-2024-6611CRITICALIncorrect handling of SameSite cookiesEPSS 0.7%CVE-2023-53957HIGHKimai 1.30.10 SameSite Cookie Vulnerability Session HijackingEPSS 0.6%CVE-2026-69215MEDIUMHttp4s: CookieJar middleware matches by substring, leaking cookies cross-originEPSS 0.5%CVE-2022-38386MEDIUMIBM Cloud Pak for Security information disclosureEPSS 0.5%CVE-2026-47889HIGHSpring Framework sameSite Attribute Dropped in JettyCoreServerHttpResponseEPSS 0.4%CVE-2026-53660HIGHOpenAM Insecure SSO Cookie InitializationEPSS 0.4%CVE-2026-55688MEDIUMAsyncHttpClient: Cookie stored for an unrelated domain (cookie tossing) via ThreadSafeCookieStoreEPSS 0.3%CVE-2025-36134LOWIBM Sterling B2B Integrator and IBM Sterling File Gateway information disclosureEPSS 0.3%CVE-2026-107229MEDIUMAsyncHttpClient: Incomplete origin checks in the default cookie store allow cookie tossing onto public-suffix and IP-address hostsEPSS 0.3%CVE-2026-107280MEDIUMAsyncHttpClient: Cookie Domain attribute is not checked against the public suffix list, so a cookie can be set for co.ukEPSS 0.3%CVE-2024-42212MEDIUMHCL BigFix Compliance is affected by an improper or missing SameSite attributeEPSS 0.3%CVE-2025-52628MEDIUMHCL AION is susceptible to Missing SameSite vulnerabilityEPSS 0.2%CVE-2024-30155MEDIUMHCL SX is susceptible to cookie with Insecure, Improper, or Missing SameSite attribute vulnerabilityEPSS 0.2%CVE-2026-73847MEDIUMEmlog: Missing CSRF protection in AI Assistant execute_tool leads to full database compromise and admin account takeoverEPSS 0.2%CVE-2024-43173LOWIBM Concert information disclosureEPSS 0.2%CVE-2026-81888MEDIUM@hono/oauth-providers: OAuth state check fails open on omitted state, enabling login CSRF and forced account linkingEPSS 0.2%CVE-2026-61687HIGHhatchet - Unauthenticated OAuth state CSRF / login-CSRF via empty-state collision in ValidateOAuthStateEPSS 0.2%CVE-2025-24387MEDIUMMissing CSRF protectionEPSS 0.2%CVE-2026-8410LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/logs/bulk/deleteEPSS 0.1%CVE-2026-8409LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/logs/deleteEPSS 0.1%