Fallos del tipo CWE-613

549 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2023-47628MEDIUMSession Expiration Misconfiguration in datahubEPSS 0.4%CVE-2024-25628HIGHInsufficient Session Expiration in alf.ioEPSS 0.4%CVE-2022-32759MEDIUMIBM Security Directory Server information disclosureEPSS 0.4%CVE-2026-14227MEDIUMInsufficient session expiration in MikroTik RouterOSEPSS 0.4%CVE-2026-92976MEDIUMStored Cross-Site Scripting (XSS) in T-Systems’ TAO 2.0EPSS 0.4%CVE-2026-71206HIGHshiori - JWT CheckToken Never Re-Validates Account State, Allowing Stale-Privilege Access After Deletion or DemotionEPSS 0.4%CVE-2026-96806MEDIUMApache Airflow Keycloak provider: Keycloak auth manager: logout does not invalidate the session — JWTMiddleware mints an unrevoked replacement tokenEPSS 0.4%CVE-2023-45600MEDIUMA CWE-613 “Insufficient Session Expiration” vulnerability in the web application, due to the session cookie “sessionid” lasting two weeks, fEPSS 0.4%CVE-2026-39924HIGHFlarum < 1.8.16 Session Persistence via Improper Access Token RevocationEPSS 0.4%CVE-2026-15967HIGHMOVEit Transfer refresh-token processing does not enforce updated account restrictionsEPSS 0.4%CVE-2023-25562MEDIUMFailure to Invalidate Session on Logout in DataHubEPSS 0.4%CVE-2026-96616HIGHKiloview E3 NDI Encoder Insufficient Session ExpirationEPSS 0.4%CVE-2024-5995HIGHSoar Cloud HR Portal - Insufficient Session ExpirationEPSS 0.4%CVE-2025-50488HIGHImproper session invalidation in the component /library/change-password.php of PHPGurukul Online Library Management System v3.0 allows attacEPSS 0.4%CVE-2026-25711MEDIUMChargemap chargemap.com Insufficient Session ExpirationEPSS 0.4%CVE-2026-14725MEDIUMSourceCodester Online Boat Reservation System session expirationEPSS 0.4%CVE-2026-16206MEDIUMdjango-oauth django-oauth-toolkit oauth2_validators.py _load_id_token session expirationEPSS 0.4%CVE-2026-3401LOWSourceCodester Web-based Pharmacy Product Management System session expirationEPSS 0.4%CVE-2025-0138LOWPrisma Cloud Compute Edition: Insufficient Session Expiration Vulnerability in the Web InterfaceEPSS 0.4%CVE-2026-43918HIGHSuspended or inactive FOSSBilling accounts can retain or regain access through existing sessions, API tokens, and password reset flowsEPSS 0.4%