Weaknesses of type CWE-384

274 results

Fixação de Sessão

É quando um atacante consegue forçar um usuário a usar um ID de sessão conhecido por ele, geralmente reutilizando a mesma sessão antes e depois do login. Depois que a vítima se autentica com aquele ID fixo, o atacante usa o mesmo ID para acessar a conta sem precisar da senha.

Example

Um site gera um cookie de sessão antes do login. O atacante envia um link com esse ID de sessão para a vítima (ex: www.site.com?jsessionid=ATACANTE123), a vítima clica e faz login normalmente, mas o atacante já tem acesso à mesma sessão autenticada porque o servidor nunca regenerou o ID após a autenticação.

How to mitigate

Regenere o ID de sessão imediatamente após um login bem-sucedido. Valide que o IP ou outros atributos da sessão não mudaram drasticamente entre requisições. Use flags Secure, HttpOnly e SameSite nos cookies de sessão para reduzir vetores de ataque.

CVE-2025-24502MEDIUMAn improper session validation allows an unauthenticated attacker to cause certain request notifications to be executed in the context of anEPSS 0.2%CVE-2026-105233MEDIUMkishor-23 food-waste-management-system Login Flow login.php session fixiationEPSS 0.2%CVE-2025-65415MEDIUMdocuFORM Managed Print Service Client 11.11c is vulnerable to a session fixation attack via the login page of the application.EPSS 0.2%CVE-2025-36117MEDIUMIBM Db2 Mirror for i session fixationEPSS 0.2%CVE-2026-121501MEDIUMmathurvishal CloudClassroom-PHP-Project loginlinkadmin.php session_regenerate_id session fixiationEPSS 0.2%CVE-2024-49709LOWXSS in iKSORISEPSS 0.2%CVE-2026-76196HIGHPhotoshop Mobile | Session Fixation (CWE-384)EPSS 0.2%CVE-2026-41839MEDIUMSpring Framework Escalation via Session Fixation in WebFluxEPSS 0.2%CVE-2024-56733MEDIUMPassword Pusher Allows Session Token Interception Leading to Potential HijackingEPSS 0.2%CVE-2026-35095MEDIUMSession fixation in KTM System e-BOKEPSS 0.2%CVE-2021-3740MEDIUMSession Fixation in chatwoot/chatwootEPSS 0.2%CVE-2026-69245MEDIUMGuzzle: Noncanonical cookie domain keeps subdomain scopeEPSS 0.2%CVE-2026-101268LOWCustomer session fixationEPSS 0.2%CVE-2023-50920MEDIUMAn issue was discovered on GL.iNet devices before version 4.5.0. They assign the same session ID after each user reboot, allowing attackers EPSS 0.2%CVE-2025-22216MEDIUMCVE-2025-22216 UAA Missing Zone ValidationEPSS 0.2%CVE-2026-49410HIGHOpenHuman /auth/telegram CSRF allows attacker-controlled session implantationEPSS 0.2%CVE-2026-34454LOWOAuth2 Proxy: Session cookie not cleared when rendering sign-in pageEPSS 0.2%CVE-2025-56400HIGHCross-Site Request Forgery (CSRF) vulnerability in the OAuth implementation of the Tuya SDK 6.5.0 for Android and iOS, affects the Tuya SmarEPSS 0.2%CVE-2023-21238—In visitUris of RemoteViews.java, there is a possible leak of images between users due to a confused deputy. This could lead to local informEPSS 0.2%CVE-2026-61687HIGHhatchet - Unauthenticated OAuth state CSRF / login-CSRF via empty-state collision in ValidateOAuthStateEPSS 0.2%