Fallos del tipo CWE-1465
1 resultadoInvalidação inadequada de sessão após logout do usuário
Ocorre quando a aplicação não encerra de fato a sessão do usuário ao fazer logout: o identificador de sessão, o token ou o cookie continua válido no servidor ou pode ser reutilizado. Assim, o logout aparenta ter funcionado para o usuário, mas a credencial antiga ainda abre acesso. O risco é maior em computadores compartilhados, em dispositivos perdidos ou quando um token foi capturado antes do logout.
Um usuário encerra a sessão em um computador público, mas o token JWT ou o cookie de sessão continua aceito pela API por horas, permitindo que quem o copiou antes continue acessando a conta.
Invalide a sessão no servidor (remova-a do armazenamento ou coloque o token em lista de revogação) durante o logout, e não apenas apague o cookie no cliente. Além disso, defina expiração curta para tokens e regenere o identificador de sessão após a autenticação.