Fallos del tipo CWE-613

545 resultados

Expiração de Sessão Inadequada

A aplicação não valida ou reforça corretamente o tempo de vida de uma sessão de usuário, permitindo que sessões expiradas ou mal gerenciadas continuem sendo aceitas. Isso abre brecha para roubo de sessão, fixação de sessão ou acesso não autorizado após logout.

Ejemplo

Um usuário faz login em um banco online e recebe um token de sessão. A aplicação não verifica se o token expirou no servidor, então mesmo após 24 horas de inatividade, aquele token continua funcional — um atacante que capturar o token pode acessar a conta indefinidamente.

Cómo mitigar

Implemente timeout rigoroso no servidor (revogue tokens expirados), valide a expiração a cada requisição, use session store confiável (Redis, BD), regenere IDs após login/logout, e considere tokens com TTL curto ou refresh tokens com rotação automática.

CVE-2026-12796MEDIUMBerriAI litellm SSO Authentication Flow ui_sso.py get_redirect_response_from_openid session expirationEPSS 0.6%CVE-2023-4126MEDIUMInsufficient Session Expiration in answerdev/answerEPSS 0.6%CVE-2026-48329LOWColdFusion | Insufficient Session Expiration (CWE-613)EPSS 0.6%CVE-2026-60053CRITICALApache Answer: Residual Administrative API Key Access After Role or Account RevocationEPSS 0.6%CVE-2024-27779MEDIUMAn insufficient session expiration vulnerability [CWE-613] in FortiSandbox FortiSandbox version 4.4.4 and below, version 4.2.6 and below, 4.EPSS 0.6%CVE-2026-44383HIGHHydro-Québec Le Circuit Electrique charging station backend Insufficient Session ExpirationEPSS 0.6%CVE-2024-45386HIGHA vulnerability has been identified in SIMATIC PCS neo V4.0 (All versions), SIMATIC PCS neo V4.1 (All versions < V4.1 Update 2), SIMATIC PCSEPSS 0.6%CVE-2026-83540HIGHwolfSSHd on Windows race condition leading to logon token reused across connectionsEPSS 0.6%CVE-2025-53826HIGHFileBrowser Has Insecure JWT Handling Which Allows Session Replay Attacks after LogoutEPSS 0.6%CVE-2024-30262MEDIUMContao's remember-me tokens will not be cleared after a password changeEPSS 0.6%CVE-2026-59219HIGHOpen WebUI: Realtime endpoints accept Redis-revoked JWTs after signout/backchannel logoutEPSS 0.6%CVE-2023-40537HIGHMulti-blade VIPRION Configuration utility session cookie vulnerabilityEPSS 0.5%CVE-2026-64829CRITICALQuestion2Answer 1.8.8 Session Fixation via Forgot-Password FlowEPSS 0.5%CVE-2025-54592HIGHFreshRSS has Incomplete Session Termination on LogoutEPSS 0.5%CVE-2024-12667MEDIUMInvoicePlane view session expirationEPSS 0.5%CVE-2024-0260MEDIUMSourceCodester Engineers Online Portal Password Change change_password_teacher.php session expirationEPSS 0.5%CVE-2026-24472MEDIUMHono cache middleware ignores "Cache-Control: private" leading to Web Cache DeceptionEPSS 0.5%CVE-2026-56400CRITICALopen-webui - Remote Code Execution via CORS Misconfiguration and Session ValidationEPSS 0.5%CVE-2023-46158MEDIUMIBM WebSphere Application Server session fixationEPSS 0.5%CVE-2023-40174MEDIUMInsufficient Session Expiration in fobybus/social-media-skeletonEPSS 0.5%