Fallos del tipo CWE-613

475 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2024-57056MEDIUMIncorrect cookie session handling in WombatDialer before 25.02 results in the full session identity being written to system logs and could bEPSS 0.3%CVE-2026-41891MEDIUMCI4MS: Deactivated User Session Bypass (active=0)EPSS 0.3%CVE-2026-35594MEDIUMVikunja Link Share JWT tokens remain valid for 72 hours after share deletion or permission downgradeEPSS 0.3%CVE-2026-56665MEDIUMZITADEL: Missing Token Expiration (`exp`) Validation in JWT IdP ProviderEPSS 0.3%CVE-2026-33417MEDIUMWallos: Password Reset Tokens Never ExpireEPSS 0.3%CVE-2025-50484HIGHImproper session invalidation in the component /crm/change-password.php of PHPGurukul Small CRM v3.0 allows attackers to execute a session hEPSS 0.3%CVE-2025-50487HIGHImproper session invalidation in the component /bbdms/change-password.php of PHPGurukul Blood Bank & Donor Management System v2.4 allows attEPSS 0.3%CVE-2026-6848MEDIUMQuay: red hat quay: authentication bypass allows privileged actions without valid credentialsEPSS 0.3%CVE-2026-27933MEDIUMManyfold vulnerable to session hijack via cookie leakage in proxy cachesEPSS 0.3%CVE-2025-25019MEDIUMIBM QRadar Suite Software and IBM Cloud Pak for Security session fixationEPSS 0.3%CVE-2026-84203HIGHMemos 0.26.0 through 0.30.0 Insufficient Session Expiration on Password ChangeEPSS 0.3%CVE-2025-1198MEDIUMInsufficient Session Expiration in GitLabEPSS 0.3%CVE-2025-59786MEDIUMCookies are not Invalidated upon Logout and Password ChangeEPSS 0.3%CVE-2026-20748MEDIUMEveron api.everon.io Insufficient Session ExpirationEPSS 0.3%CVE-2024-48926MEDIUMUmbraco CMS logout page displayed before session expirationEPSS 0.3%CVE-2025-10223MEDIUMImproper Session Cleanup on Role Removal in Web Admin Panel in AxxonSoft Axxon One (C-Werk)EPSS 0.3%CVE-2026-32663MEDIUMIGL-Technologies eParking.fi Insufficient Session ExpirationEPSS 0.3%CVE-2024-22351MEDIUMIBM InfoSphere Information Server session fixationEPSS 0.2%CVE-2024-7998LOWIn affected versions of Octopus Server OIDC cookies were using the wrong expiration time which could result in them using the maximum lifespEPSS 0.2%CVE-2025-33005MEDIUMIBM Planning Analytics Local session fixationEPSS 0.2%