Weaknesses of type CWE-1463
1 resultTempo de expiração de sessão insuficiente
A aplicação mantém sessões autenticadas válidas por tempo excessivo, ou não encerra a sessão após inatividade. Isso deixa uma credencial de sessão utilizável por mais tempo do que o necessário. Se o token ou cookie for capturado ou esquecido em um dispositivo compartilhado, um atacante pode reutilizá-lo sem precisar da senha.
Um usuário faz login em um computador de uso público e fecha o navegador sem sair da conta. A sessão continua válida no servidor por dias, e quem usar o mesmo equipamento depois acessa dados pessoais ou executa ações financeiras sem se autenticar novamente.
Defina timeouts de inatividade e de duração absoluta da sessão adequados ao risco do sistema, invalide o token no servidor no logout e exija reautenticação para operações sensíveis. Revise esses valores periodicamente e teste se a expiração de fato ocorre.