Fallos del tipo CWE-613

549 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2025-40566HIGHA vulnerability has been identified in SIMATIC PCS neo V4.1 (All versions < V4.1 Update 3), SIMATIC PCS neo V5.0 (All versions < V5.0 UpdateEPSS 0.5%CVE-2022-48317MEDIUMInsecure Termination of RestAPI Session TokensEPSS 0.5%CVE-2023-0041MEDIUMIBM Security Guardium session fixationEPSS 0.5%CVE-2026-32132HIGHZITADEL: Reactivation of Expired Passkey Registration CodesEPSS 0.5%CVE-2024-22403LOWOAuth2 authorization codes are valid indefinetly in Nextcloud serverEPSS 0.5%CVE-2024-34709MEDIUMDirectus Lacks Session Tokens InvalidationEPSS 0.4%CVE-2026-84203HIGHMemos 0.26.0 through 0.30.0 Insufficient Session Expiration on Password ChangeEPSS 0.4%CVE-2026-51953HIGHAn issue in FeehiCMS v.2.1.1 allows an attacker to escalate privileges via the Session management module, authentication logic, logout handlEPSS 0.4%CVE-2021-20581MEDIUMIBM Security Verify Privilege information disclosureEPSS 0.4%CVE-2024-35220HIGH@fastify/session reuses destroyed session cookieEPSS 0.4%CVE-2026-21622CRITICALPassword Reset Tokens Do Not ExpireEPSS 0.4%CVE-2022-45862LOWAn insufficient session expiration vulnerability [CWE-613] vulnerability in FortiOS 7.2.5 and below, 7.0 all versions, 6.4 all versions; ForEPSS 0.4%CVE-2025-11699HIGHCVE-2025-11699EPSS 0.4%CVE-2026-17600HIGHNexus Repository 3 - Session Not Invalidated on User Account Deletion or DeactivationEPSS 0.4%CVE-2026-73180MEDIUMApache Tomcat: Authenticated WebSocket session survives end of HTTP sessionEPSS 0.4%CVE-2024-31995MEDIUMzcap has incomplete expiration checks in capability chains.EPSS 0.4%CVE-2024-43685HIGHSession token fixation in TimeProvider 4100EPSS 0.4%CVE-2024-39809HIGHBIG-IP Next Central Manager vulnerabilityEPSS 0.4%CVE-2025-46344MEDIUMAuth0 NextJS SDK v4 Missing Session InvalidationEPSS 0.4%CVE-2023-1788MEDIUMInsufficient Session Expiration in firefly-iii/firefly-iiiEPSS 0.4%