Fallos del tipo CWE-613

553 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2023-40695MEDIUMIBM Cognos Controller session fixationEPSS 0.4%CVE-2026-77130MEDIUMInsufficient Session Expiration in extension "SYSSY - TYPO3 Monitoring & Security Checks" (syssy)EPSS 0.4%CVE-2022-22371MEDIUMIBM Sterling B2B Integrator Standard Edition session fixationEPSS 0.4%CVE-2026-63753MEDIUMSurrealDB before 3.1.0 Authentication Bypass via LIVE QueryEPSS 0.4%CVE-2026-27649MEDIUMCTEK Chargeportal Insufficient Session ExpirationEPSS 0.3%CVE-2026-26060MEDIUMFleet: Password reset tokens remain valid after password change for 24 hoursEPSS 0.3%CVE-2026-27647MEDIUMMobility46 mobility46.se Insufficient Session ExpirationEPSS 0.3%CVE-2026-107146MEDIUMInsufficient session expiration in twofactor_gauthenticatorEPSS 0.3%CVE-2026-67242MEDIUMRabbitMQ: OAuth2 is_integer(Exp) guard skips token-expiry checks for float expEPSS 0.3%CVE-2026-27764MEDIUMMobiliti e-mobi.hu Insufficient Session ExpirationEPSS 0.3%CVE-2025-55162MEDIUMEnvoy: oAuth2 Filter Signout route will not clear cookies because of missing "secure;" flagEPSS 0.3%CVE-2026-22706LOWStrapi: Password Reset Does Not Revoke Existing Refresh SessionsEPSS 0.3%CVE-2026-107721MEDIUMfast-jwt clockTolerance: Infinity silently bypasses both exp and nbf validation (and persists in the verifier cache)EPSS 0.3%CVE-2025-25252MEDIUMAn Insufficient Session Expiration vulnerability [CWE-613] in FortiOS SSL VPN 7.6.0 through 7.6.2, 7.4.0 through 7.4.6, 7.2.0 through 7.2.10EPSS 0.3%CVE-2025-61775MEDIUMVickey's unexpired email confirmation link can be reused to send repeated confirmation emailsEPSS 0.3%CVE-2024-11668MEDIUMInsufficient Session Expiration in GitLabEPSS 0.3%CVE-2025-50491HIGHImproper session invalidation in the component /banker/change-password.php of PHPGurukul Bank Locker Management System v1 allows attackers tEPSS 0.3%CVE-2024-36523MEDIUMAn access control issue in Wvp GB28181 Pro 2.0 allows users to continue to access information in the application after deleting their own orEPSS 0.3%CVE-2026-34503HIGHOpenClaw < 2026.3.28 - Incomplete WebSocket Session Termination on Device Removal and Token RevocationEPSS 0.3%CVE-2019-5647MEDIUMRapid7 AppSpider Chrome Plugin Insufficient Session ExpirationEPSS 0.3%