Fallos del tipo CWE-613

553 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2026-100502MEDIUMFlame through 2.4.0 Admin Token Insufficient Session ExpirationEPSS 0.4%CVE-2026-43918HIGHSuspended or inactive FOSSBilling accounts can retain or regain access through existing sessions, API tokens, and password reset flowsEPSS 0.4%CVE-2024-25619LOWDestroying OAuth Applications doesn't notify Streaming of Access Tokens being destroyed in mastodonEPSS 0.4%CVE-2021-3844MEDIUMRapid7 InsightVM Insufficient Session ExpirationEPSS 0.4%CVE-2024-35160MEDIUMIBM Watson Query on Cloud Pak for Data and IBM Db2 Big SQL on Cloud Pak for Data information disclosureEPSS 0.4%CVE-2026-53776CRITICALPerry < 0.5.1166 JWT Expiration Bypass via verify_decodeEPSS 0.4%CVE-2026-79664CRITICALEch0 before 4.7.3 Access Token Revocation BypassEPSS 0.4%CVE-2026-25778MEDIUMSWITCH EV swtchenergy.com Insufficient Session ExpirationEPSS 0.4%CVE-2022-40228LOWIBM DataPower Gateway session fixationEPSS 0.4%CVE-2026-71575CRITICALApache CXF: Inoperative max_age authentication-freshness check in OidcClientCodeRequestFilterEPSS 0.4%CVE-2026-53928MEDIUMNocoDB: Refresh Tokens Persist Through Password RecoveryEPSS 0.4%CVE-2026-27652MEDIUMCloudCharge cloudcharge.se Insufficient Session ExpirationEPSS 0.4%CVE-2026-111919HIGHVikunja 0.22.0 before 2.7.0 Improper Access Revocation via WebhooksEPSS 0.4%CVE-2026-86215MEDIUMMstfakts College-Management-System Logout server.php session expirationEPSS 0.4%CVE-2026-111917HIGHVikunja 2.3.0 before 2.7.0 WebSocket Authentication Ignores Session RevocationEPSS 0.4%CVE-2026-25476HIGHOpenEMR has Session Timeout Bypass via skip_timeout_resetEPSS 0.4%CVE-2026-14465MEDIUMSession Fixation in Bilin Software's HUMANIST Digital Human ResourcesEPSS 0.4%CVE-2023-45718LOWHCL Sametime is impacted by a failure to invalidate sessionsEPSS 0.4%CVE-2026-120340MEDIUMmathurvishal CloudClassroom-PHP-Project Global Session session expirationEPSS 0.4%CVE-2025-64386HIGHHIJACKING OF THE TOKEN AND GAINING ACCESSEPSS 0.4%