Weaknesses of type CWE-384

274 results

Fixação de Sessão

É quando um atacante consegue forçar um usuário a usar um ID de sessão conhecido por ele, geralmente reutilizando a mesma sessão antes e depois do login. Depois que a vítima se autentica com aquele ID fixo, o atacante usa o mesmo ID para acessar a conta sem precisar da senha.

Example

Um site gera um cookie de sessão antes do login. O atacante envia um link com esse ID de sessão para a vítima (ex: www.site.com?jsessionid=ATACANTE123), a vítima clica e faz login normalmente, mas o atacante já tem acesso à mesma sessão autenticada porque o servidor nunca regenerou o ID após a autenticação.

How to mitigate

Regenere o ID de sessão imediatamente após um login bem-sucedido. Valide que o IP ou outros atributos da sessão não mudaram drasticamente entre requisições. Use flags Secure, HttpOnly e SameSite nos cookies de sessão para reduzir vetores de ataque.

CVE-2023-47798MEDIUMAccount lockout in Liferay Portal 7.2.0 through 7.3.0, and older unsupported versions, and Liferay DXP 7.2 before fix pack 5, and older unsuEPSS 0.3%CVE-2026-23796MEDIUMSession Fixation in Quick.CartEPSS 0.3%CVE-2026-82840HIGHApache Wicket: The session id is renewed only on the first sign in, not on re-authenticationEPSS 0.3%CVE-2026-33492HIGHAVideo has Session Fixation via GET PHPSESSID Parameter With Disabled Login Session RegenerationEPSS 0.3%CVE-2024-34324CRITICALAn issue in ProPhoenix Law RMS v2022.2403.3.101 allows attackers to execute a session hijacking attack via injecting a crafted 24-character EPSS 0.3%CVE-2025-64100MEDIUMCKAN Vulnerable to Session Cookie FixationEPSS 0.3%CVE-2026-16089MEDIUMKeycloak-services: keycloak-services: authorization codes can be retargeted to another client sessionEPSS 0.3%CVE-2026-107226MEDIUMAsyncHttpClient: Cookies received over plaintext HTTP can plant, overwrite or delete Secure cookies set over HTTPSEPSS 0.3%CVE-2026-104469HIGHYesWiki before 4.6.7 Session Fixation via Login in AuthController.phpEPSS 0.3%CVE-2025-26658MEDIUMBroken Authentication in SAP Business One (Service Layer)EPSS 0.3%CVE-2025-10228HIGHSession Hijacking in Rolantis Information Technologies' AgentisEPSS 0.3%CVE-2026-71302HIGHToptech TMS7 and TopHAT Session FixationEPSS 0.3%CVE-2026-79312MEDIUMwebpy web.py 0.76 is vulnerable to Session Fixation. The component Session._load() reads session_id directly from the request cookie and loaEPSS 0.3%CVE-2023-50941MEDIUMIBM PowerSC session fixationEPSS 0.3%CVE-2023-44400MEDIUMUptime Kuma has Persistentent User Sessions EPSS 0.3%CVE-2026-81181LOWSysReptor: Session Fixation in Password-Protected Shared NotesEPSS 0.3%CVE-2024-42207MEDIUMHCL iAutomate is affected by a session fixation vulnerabilityEPSS 0.3%CVE-2025-37159MEDIUMAuthenticated Session Hijacking Allows Unauthorized Access in Network Switching SoftwareEPSS 0.3%CVE-2026-56224MEDIUMCapgo - Login CSRF and Session Fixation via URL Query ParametersEPSS 0.3%CVE-2024-48929MEDIUMUmbraco CMS Has Incomplete Server Termination During Explicit Sign-OutEPSS 0.3%