Fallos del tipo CWE-613

475 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2026-40939MEDIUMDSF: Missing Session Timeout for OIDC SessionsEPSS 0.2%CVE-2026-66400MEDIUMGrav Login Plugin before 3.8.13 Insufficient Session ExpirationEPSS 0.2%CVE-2020-4914MEDIUMIBM Cloud Pak System Software Suite session fixationEPSS 0.1%CVE-2025-48061MEDIUMwire-webapp Has Insufficient Session Invalidation after User LogoutEPSS 0.1%CVE-2025-46741MEDIUMImproper Privilege ManagementEPSS 0.1%CVE-2026-44873MEDIUMInsufficient Session Invalidation on User Account Deactivation in AOS-8 Operating SystemEPSS 0.1%CVE-2026-24667MEDIUMOpen eClass's Active Sessions Not Invalidated After Password Change Allow Persistent Account AccessEPSS 0.1%CVE-2025-12627LOWImproper Refresh Token Implementation via User Impersonation Flow in WSO2 Identity Server Enables Continued Unauthorized ActionsEPSS 0.1%CVE-2024-8995MEDIUMAuthorization Code issued for Deleted User reuse in Multiple WSO2 Products Allows Unauthorized AccessEPSS 0.1%CVE-2025-55264MEDIUMHCL Aftermarket DPC is affected by Failure to Invalidate Session on Password ChangeEPSS 0.1%CVE-2025-15552MEDIUMLong Session Lifetime in Truesec LAPSWebUIEPSS 0.1%CVE-2025-15553MEDIUMInsecure Logout Functionality in Truesec LAPSWebUIEPSS 0.1%CVE-2025-54547MEDIUMOn affected platforms, if SSH session multiplexing was configured on the client side, SSH sessions (e.g, scp, sftp) multiplexed onto the same channel could perform file-system operations after a configured session timeout expiredEPSS 0.1%CVE-2026-73586MEDIUMDell Secure Connect Gateway (SCG) Policy Manager, versions prior to 5.34.00.16, contains an Insufficient Session Expiration vulnerability. AEPSS —CVE-2026-97056HIGHSigNoz before 0.143.0 Insufficient Session Expiration Authentication BypassEPSS —