Fallos del tipo CWE-1463
1 resultadoTempo limite de sessão insuficiente
A aplicação mantém sessões autenticadas válidas por mais tempo do que o necessário, ou não encerra sessões ociosas com um prazo adequado à sensibilidade dos dados. Quanto maior a janela em que um token ou cookie de sessão continua aceito, maior a chance de ele ser reutilizado por outra pessoa. O risco cresce em dispositivos compartilhados, em redes não confiáveis e quando o token pode ser roubado por XSS ou outro vazamento.
Um portal de autoatendimento mantém o cookie de sessão válido por vários dias sem atividade. Se o usuário acessa o sistema em um computador de uso público e esquece de sair, quem usar esse computador depois consegue continuar logado sem informar credenciais.
Defina limites de inatividade e de duração absoluta proporcionais à criticidade do sistema, e invalide a sessão no servidor no logout e no timeout, não apenas no cliente. Para áreas sensíveis, exija reautenticação antes de operações críticas.