Weaknesses of type CWE-1275

31 results

Cookie sensível sem atributo SameSite adequado

Quando um cookie contém dados sensíveis (sessão, autenticação) mas não possui o atributo SameSite configurado ou está configurado como 'None', o navegador envia esse cookie em requisições cross-site, permitindo ataques CSRF (falsificação de requisição entre sites). Um atacante pode forçar um usuário autenticado a executar ações indesejadas em sua conta.

Example

Uma aplicação bancária seta um cookie de sessão sem SameSite. Um atacante publica um site malicioso que faz uma requisição POST invisível (transferência de dinheiro) para o banco. Se o usuário visita o site enquanto autenticado, o cookie de sessão é enviado automaticamente, e a transação é executada sem consentimento.

How to mitigate

Configure SameSite=Strict (ou Lax se necessário compatibilidade) em todos os cookies de sessão e autenticação. No servidor, adicione o header Set-Cookie com o atributo: 'Set-Cookie: sessionId=xyz; SameSite=Strict; Secure; HttpOnly'. Valide também a origem das requisições críticas usando CSRF tokens.

CVE-2024-6611CRITICALIncorrect handling of SameSite cookiesEPSS 0.7%CVE-2023-53957HIGHKimai 1.30.10 SameSite Cookie Vulnerability Session HijackingEPSS 0.6%CVE-2026-69215MEDIUMHttp4s: CookieJar middleware matches by substring, leaking cookies cross-originEPSS 0.5%CVE-2022-38386MEDIUMIBM Cloud Pak for Security information disclosureEPSS 0.5%CVE-2026-47889HIGHSpring Framework sameSite Attribute Dropped in JettyCoreServerHttpResponseEPSS 0.4%CVE-2026-53660HIGHOpenAM Insecure SSO Cookie InitializationEPSS 0.4%CVE-2026-55688MEDIUMAsyncHttpClient: Cookie stored for an unrelated domain (cookie tossing) via ThreadSafeCookieStoreEPSS 0.3%CVE-2025-36134LOWIBM Sterling B2B Integrator and IBM Sterling File Gateway information disclosureEPSS 0.3%CVE-2024-42212MEDIUMHCL BigFix Compliance is affected by an improper or missing SameSite attributeEPSS 0.2%CVE-2026-73847MEDIUMEmlog: Missing CSRF protection in AI Assistant execute_tool leads to full database compromise and admin account takeoverEPSS 0.2%CVE-2024-30155MEDIUMHCL SX is susceptible to cookie with Insecure, Improper, or Missing SameSite attribute vulnerabilityEPSS 0.2%CVE-2026-8410LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/logs/bulk/deleteEPSS 0.2%CVE-2024-43173LOWIBM Concert information disclosureEPSS 0.2%CVE-2026-8409LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/logs/deleteEPSS 0.2%CVE-2025-52628MEDIUMHCL AION is susceptible to Missing SameSite vulnerabilityEPSS 0.2%CVE-2026-8432LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/backend/file star()EPSS 0.2%CVE-2026-8415LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/express/association/reorderEPSS 0.2%CVE-2026-8434LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/backend/file rescanMultiple()EPSS 0.2%CVE-2026-8412LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/page/bulk/cacheEPSS 0.2%CVE-2026-8413LOWConcrete CMS 9 before 9.5.0 is vulnerable to Cross Site Request Forgery (CSRF) at concrete/controllers/dialog/page/bulk/designEPSS 0.2%