Weaknesses of type CWE-384

253 results

Fixação de Sessão

É quando um atacante consegue forçar um usuário a usar um ID de sessão conhecido por ele, geralmente reutilizando a mesma sessão antes e depois do login. Depois que a vítima se autentica com aquele ID fixo, o atacante usa o mesmo ID para acessar a conta sem precisar da senha.

Example

Um site gera um cookie de sessão antes do login. O atacante envia um link com esse ID de sessão para a vítima (ex: www.site.com?jsessionid=ATACANTE123), a vítima clica e faz login normalmente, mas o atacante já tem acesso à mesma sessão autenticada porque o servidor nunca regenerou o ID após a autenticação.

How to mitigate

Regenere o ID de sessão imediatamente após um login bem-sucedido. Valide que o IP ou outros atributos da sessão não mudaram drasticamente entre requisições. Use flags Secure, HttpOnly e SameSite nos cookies de sessão para reduzir vetores de ataque.

CVE-2025-1412LOWSession Persistence After User-to-Bot ConversionEPSS 0.3%CVE-2026-92984HIGHHUBzero CMS through 2.2.32 Session Fixation via Query-String Session IdentifierEPSS 0.3%CVE-2024-48929MEDIUMUmbraco CMS Has Incomplete Server Termination During Explicit Sign-OutEPSS 0.3%CVE-2024-49344MEDIUMIBM OpenPages session fixationEPSS 0.3%CVE-2025-55266MEDIUMHCL Aftermarket DPC is affected by Session FixationEPSS 0.3%CVE-2024-28144MEDIUMBroken Access ControlEPSS 0.2%CVE-2024-42171MEDIUMHCL MyXalytics is affected by insufficient session expirationEPSS 0.2%CVE-2026-1758HIGHSession FixationEPSS 0.2%CVE-2026-31940HIGHSession Fixation in Chamilo LMSEPSS 0.2%CVE-2026-78428HIGHFlaw in Nuevector can result in one user receiving another user's authenticated session when multiple SSO login attempts occur concurrentlyEPSS 0.2%CVE-2025-24503CRITICALA malicious actor can fix the session of a PAM user by tricking the user to click on a specially crafted link to the PAM server.EPSS 0.2%CVE-2026-11335MEDIUMtittuvarghese CollegeManagementSystem login-form.php session_start session fixiationEPSS 0.2%CVE-2026-86279MEDIUMSourceCodester Syllabus-Aligned Learning Management & Examination System Login auth_process.php session fixiationEPSS 0.2%CVE-2026-86674MEDIUMningzichun Student Management System login.php session_start session fixiationEPSS 0.2%CVE-2025-65415MEDIUMdocuFORM Managed Print Service Client 11.11c is vulnerable to a session fixation attack via the login page of the application.EPSS 0.2%CVE-2026-81181LOWSysReptor: Session Fixation in Password-Protected Shared NotesEPSS 0.2%CVE-2025-24502MEDIUMAn improper session validation allows an unauthenticated attacker to cause certain request notifications to be executed in the context of anEPSS 0.2%CVE-2026-85238HIGHSession Fixation in MISP CustomAuth Authentication Allows Session HijackingEPSS 0.2%CVE-2025-65681LOWAn issue was discovered in Overhang.IO (tutor-open-edx) (overhangio/tutor) 20.0.2 allowing local unauthorized attackers to gain access to seEPSS 0.2%CVE-2026-41839MEDIUMSpring Framework Escalation via Session Fixation in WebFluxEPSS 0.2%