Fallos del tipo CWE-613

549 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2025-58437HIGHCoder's privilege escalation vulnerability could lead to a cross workspace compromiseEPSS 0.4%CVE-2024-22358MEDIUMIBM UrbanCode Deploy session fixationEPSS 0.4%CVE-2025-4528MEDIUMDígitro NGC Explorer session expirationEPSS 0.4%CVE-2021-35473CRITICALAn issue was discovered in LemonLDAP::NG before 2.0.12. There is a missing expiration check in the OAuth2.0 handler, i.e., it does not verifEPSS 0.4%CVE-2022-24732MEDIUMMaddy Mail Server does not implement account expiryEPSS 0.4%CVE-2026-82469MEDIUMRodauth before 2.47.0 Authentication Bypass via jwt_refreshEPSS 0.4%CVE-2026-45791MEDIUMDokploy: Password Change Does Not Revoke Active SessionsEPSS 0.4%CVE-2024-4680LOWInsufficient Session Expiration in zenml-io/zenmlEPSS 0.4%CVE-2026-92800HIGHDocs before 5.4.1 Stale Collaboration Session After Access RevocationEPSS 0.4%CVE-2026-53926MEDIUMNocoDB: OAuth Tokens Persist Through Security EventsEPSS 0.4%CVE-2026-81826CRITICALFlowintel Fails to Invalidate Active Sessions After Password ChangeEPSS 0.4%CVE-2026-20895MEDIUMEV2GO ev2go.io Insufficient Session ExpirationEPSS 0.4%CVE-2023-20903MEDIUMThis disclosure regards a vulnerability related to UAA refresh tokens and external identity providers.Assuming that an external identity proEPSS 0.4%CVE-2024-41827HIGHIn JetBrains TeamCity before 2024.07 access tokens could continue working after deletion or expirationEPSS 0.4%CVE-2026-89073HIGHMOVEit Transfer Access restriction bypass in OAuth authenticationEPSS 0.4%CVE-2026-12772MEDIUMBerriAI litellm PROXY_ADMIN database API Key Generator login_utils.py authenticate_user session expirationEPSS 0.4%CVE-2026-54321HIGHDaytona: Public sandbox previews remain accessible for up to one hour after being made privateEPSS 0.4%CVE-2026-44648HIGHSillyTavern: Existing sessions are not invalidated after password change, allowing session reuse and account takeoverEPSS 0.4%CVE-2024-45462MEDIUMApache CloudStack: Incomplete session invalidation on web interface logoutEPSS 0.4%CVE-2026-82909MEDIUMQuantumNous new-api Revoked API Token token session expirationEPSS 0.4%