Weaknesses of type CWE-384

274 results

Fixação de Sessão

É quando um atacante consegue forçar um usuário a usar um ID de sessão conhecido por ele, geralmente reutilizando a mesma sessão antes e depois do login. Depois que a vítima se autentica com aquele ID fixo, o atacante usa o mesmo ID para acessar a conta sem precisar da senha.

Example

Um site gera um cookie de sessão antes do login. O atacante envia um link com esse ID de sessão para a vítima (ex: www.site.com?jsessionid=ATACANTE123), a vítima clica e faz login normalmente, mas o atacante já tem acesso à mesma sessão autenticada porque o servidor nunca regenerou o ID após a autenticação.

How to mitigate

Regenere o ID de sessão imediatamente após um login bem-sucedido. Valide que o IP ou outros atributos da sessão não mudaram drasticamente entre requisições. Use flags Secure, HttpOnly e SameSite nos cookies de sessão para reduzir vetores de ataque.

CVE-2026-30808HIGHSession Fixation in Authentication leads to Session HijackingEPSS 0.3%CVE-2026-78428HIGHFlaw in Neuvector can result in one user receiving another user's authenticated session when multiple SSO login attempts occur concurrentlyEPSS 0.3%CVE-2019-18946MEDIUMSession fixationEPSS 0.3%CVE-2023-49804MEDIUMUptime Kuma Password Change VulnerabilityEPSS 0.3%CVE-2026-107229MEDIUMAsyncHttpClient: Incomplete origin checks in the default cookie store allow cookie tossing onto public-suffix and IP-address hostsEPSS 0.3%CVE-2025-55266MEDIUMHCL Aftermarket DPC is affected by Session FixationEPSS 0.3%CVE-2025-1412LOWSession Persistence After User-to-Bot ConversionEPSS 0.3%CVE-2024-49344MEDIUMIBM OpenPages session fixationEPSS 0.3%CVE-2024-28144MEDIUMBroken Access ControlEPSS 0.2%CVE-2025-0251LOWHCL IEM is affected by a concurrent login vulnerabilityEPSS 0.2%CVE-2026-70594MEDIUMGhost: Session Fixation in Ghost AdminEPSS 0.2%CVE-2024-42171MEDIUMHCL MyXalytics is affected by insufficient session expirationEPSS 0.2%CVE-2026-107421HIGHWordPress Broadcast Live Video plugin <= 7.3.2 - Session Hijacking vulnerabilityEPSS 0.2%CVE-2025-0253LOWHCL IEM is affected by a cookie attribute not set vulnerabilityEPSS 0.2%CVE-2025-7015MEDIUMSession Hijacking in Akinsoft's QR MenuEPSS 0.2%CVE-2026-31940HIGHSession Fixation in Chamilo LMSEPSS 0.2%CVE-2025-24503CRITICALA malicious actor can fix the session of a PAM user by tricking the user to click on a specially crafted link to the PAM server.EPSS 0.2%CVE-2025-70973MEDIUMScadaBR 1.12.4 is vulnerable to Session Fixation. The application assigns a JSESSIONID session cookie to unauthenticated users and does not EPSS 0.2%CVE-2026-11335MEDIUMtittuvarghese CollegeManagementSystem login-form.php session_start session fixiationEPSS 0.2%CVE-2025-65681LOWAn issue was discovered in Overhang.IO (tutor-open-edx) (overhangio/tutor) 20.0.2 allowing local unauthorized attackers to gain access to seEPSS 0.2%