Fallos del tipo CWE-613

549 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2026-97056HIGHSigNoz before 0.143.0 Insufficient Session Expiration Authentication BypassEPSS 0.4%CVE-2026-24912MEDIUMePower epower.ie Insufficient Session ExpirationEPSS 0.4%CVE-2026-73611HIGHFile Browser 2.50.0 through 2.63.21 JWT Expiration BypassEPSS 0.4%CVE-2026-54779MEDIUMCoreWCF: SAML token replay protection is inoperativeEPSS 0.4%CVE-2026-81268HIGHLangflow is vulnerable to authentication bypass and insufficient session expirationEPSS 0.4%CVE-2023-33005MEDIUMJenkins WSO2 Oauth Plugin 1.0 and earlier does not invalidate the previous session on login.EPSS 0.4%CVE-2025-49602CRITICALAn issue was discovered in Keyfactor EJBCA 9. When an administrator is removed from its administrator role while having a valid TLS session,EPSS 0.4%CVE-2026-75554LOWExplicit organization scopes survive token refresh after membership endsEPSS 0.4%CVE-2026-86698LOWRefresh tokens accepted as private repository credentials at the CDNEPSS 0.4%CVE-2022-23502MEDIUMTYPO3 contains Insufficient Session Expiration after Password ResetEPSS 0.4%CVE-2025-42602HIGHImproper Authentication Vulnerability in Meon KYC solutionsEPSS 0.4%CVE-2021-47740MEDIUMKZTech JT3500V 4G LTE CPE 2.0.1 Insufficient Session Expiration VulnerabilityEPSS 0.4%CVE-2024-13280CRITICALPersistent Login - Moderately critical - Access bypass - SA-CONTRIB-2024-044EPSS 0.4%CVE-2024-8888CRITICALInsufficient Session Expiration vulnerability on CIRCUTOR Q-SMTEPSS 0.4%CVE-2026-54479MEDIUMEVoke Systems EVoke CSMS Insufficient Session ExpirationEPSS 0.4%CVE-2026-1435CRITICALIncorrect management of session invalidation vulnerability in Graylog Web InterfaceEPSS 0.4%CVE-2024-35048MEDIUMAn issue in SurveyKing v1.3.1 allows attackers to execute a session replay attack after a user changes their password.EPSS 0.4%CVE-2025-4643MEDIUMLack of JWT Expiration after Log Out in PayloadCMSEPSS 0.4%CVE-2026-28275HIGHInitiative Vulnerable to Improper Session Invalidation (JWT Remains Valid)EPSS 0.4%CVE-2026-63089CRITICALWireGuard Easy Weak Token Generation Information Disclosure via OTL RouteEPSS 0.4%