Fallos del tipo CWE-613

473 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2026-20895MEDIUMEV2GO ev2go.io Insufficient Session ExpirationEPSS 0.4%CVE-2023-45718LOWHCL Sametime is impacted by a failure to invalidate sessionsEPSS 0.4%CVE-2023-40695MEDIUMIBM Cognos Controller session fixationEPSS 0.4%CVE-2026-63753MEDIUMSurrealDB before 3.1.0 Authentication Bypass via LIVE QueryEPSS 0.4%CVE-2025-0138LOWPrisma Cloud Compute Edition: Insufficient Session Expiration Vulnerability in the Web InterfaceEPSS 0.4%CVE-2026-60053CRITICALApache Answer: Residual Administrative API Key Access After Role or Account RevocationEPSS 0.3%CVE-2025-61775MEDIUMVickey's unexpired email confirmation link can be reused to send repeated confirmation emailsEPSS 0.3%CVE-2024-36523MEDIUMAn access control issue in Wvp GB28181 Pro 2.0 allows users to continue to access information in the application after deleting their own orEPSS 0.3%CVE-2025-55705HIGHEVMAPA Insufficient Session ExpirationEPSS 0.3%CVE-2025-25252MEDIUMAn Insufficient Session Expiration vulnerability [CWE-613] in FortiOS SSL VPN 7.6.0 through 7.6.2, 7.4.0 through 7.4.6, 7.2.0 through 7.2.10EPSS 0.3%CVE-2026-73611HIGHFile Browser 2.50.0 through 2.63.21 JWT Expiration BypassEPSS 0.3%CVE-2026-26290MEDIUMEV Energy ev.energy Insufficient Session ExpirationEPSS 0.3%CVE-2022-40228LOWIBM DataPower Gateway session fixationEPSS 0.3%CVE-2019-5647MEDIUMRapid7 AppSpider Chrome Plugin Insufficient Session ExpirationEPSS 0.3%CVE-2019-14826MEDIUMA flaw was found in FreeIPA versions 4.5.0 and later. Session cookies were retained in the cache after logout. An attacker could abuse this EPSS 0.3%CVE-2026-26060MEDIUMFleet: Password reset tokens remain valid after password change for 24 hoursEPSS 0.3%CVE-2025-55162MEDIUMEnvoy: oAuth2 Filter Signout route will not clear cookies because of missing "secure;" flagEPSS 0.3%CVE-2026-9162MEDIUMGlobal session revocation does not invalidate active WebSocket connectionsEPSS 0.3%CVE-2026-34503HIGHOpenClaw < 2026.3.28 - Incomplete WebSocket Session Termination on Device Removal and Token RevocationEPSS 0.3%CVE-2026-88262HIGHInsufficient session expiration vulnerability in bizwell xClick allows Authentication Bypass. This issue affects xClick: R2, R3, and R3.1.EPSS 0.3%