Fallos del tipo CWE-613

549 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2022-4070LOWInsufficient Session Expiration in librenms/librenmsEPSS 0.7%CVE-2024-0942LOWTotolink N200RE V5 cstecgi.cgi session expirationEPSS 0.7%CVE-2023-4320HIGHSatellite: arithmetic overflow in satelliteEPSS 0.7%CVE-2023-42768HIGHBIG-IP iControl REST vulnerabilityEPSS 0.7%CVE-2022-2782CRITICALIn affected versions of Octopus Server it is possible for a session token to be valid indefinitely due to improper validation of the sessionEPSS 0.7%CVE-2026-14950CRITICALFrauscher Sensortechnik: FDS102 for FAdC/FAdCi R2 is vulnerable to Insufficient Session Expiration due to flawed session expiration logicEPSS 0.6%CVE-2024-27455CRITICALIn the Bentley ALIM Web application, certain configuration settings can cause exposure of a user's ALIM session token when the user attemptsEPSS 0.6%CVE-2023-31139MEDIUMDHIS2 Core unrestricted session cookies with Personal Access TokensEPSS 0.6%CVE-2023-22492MEDIUMRefreshToken invalidation vulnerabilityEPSS 0.6%CVE-2024-31999HIGH@fastify/secure-session: Reuse of destroyed secure session cookieEPSS 0.6%CVE-2026-81637LOWReplayable OAuth2 CSRF state retained after a failed callback in AshAuthenticationEPSS 0.6%CVE-2023-4190MEDIUMInsufficient Session Expiration in admidio/admidioEPSS 0.6%CVE-2025-24896HIGHMisskey allows token to remain valid in cookie after signing outEPSS 0.6%CVE-2023-5838MEDIUMInsufficient Session Expiration in linkstackorg/linkstackEPSS 0.6%CVE-2024-0943LOWTotolink N350RT cstecgi.cgi session expirationEPSS 0.6%CVE-2024-25954MEDIUMDell PowerScale OneFS, versions 9.5.0.x through 9.7.0.x, contain an insufficient session expiration vulnerability. A remote unauthenticated EPSS 0.6%CVE-2020-6292MEDIUMLogout mechanism in SAP Disclosure Management, version 10.1, does not invalidate one of the session cookies, leading to Insufficient SessionEPSS 0.6%CVE-2022-50692MEDIUMSOUND4 IMPACT/FIRST/PULSE/Eco <=2.x Insufficient Session Expiration VulnerabilityEPSS 0.6%CVE-2026-88262HIGHInsufficient session expiration vulnerability in bizwell xClick allows Authentication Bypass. This issue affects xClick: R2, R3, and R3.1.EPSS 0.6%CVE-2023-40025MEDIUMArgo CD web terminal session doesn't expireEPSS 0.6%