Fallos del tipo CWE-614

65 resultados

Cookie Sensível Sem Atributo Secure

Um cookie contendo dados sensíveis (sessão, autenticação, token) é enviado sem o atributo Secure, permitindo que um atacante intercepte a transmissão via HTTP não criptografado. O navegador envia o cookie mesmo em conexões inseguras, expondo credenciais ou tokens a quem escuta o tráfego de rede.

Ejemplo

Uma aplicação web autentica um usuário e define Set-Cookie: sessionid=abc123 sem incluir Secure. Se o usuário acessa a página via HTTP (ou é redirecionado antes de HTTPS), o sessionid trafega em claro e um atacante na mesma rede WiFi captura a sessão e se faz passar pelo usuário.

Cómo mitigar

Sempre defina o atributo Secure nos cookies de sessão, autenticação ou qualquer dado sensível (Set-Cookie: sessionid=abc123; Secure; HttpOnly). Force HTTPS em toda a aplicação e redirecione automaticamente requisições HTTP para HTTPS, garantindo que o cookie nunca é transmitido sem criptografia.

CVE-2026-1697MEDIUMUse of unsecure cookies for GraphicalData web service and WebClient web appEPSS 0.1%CVE-2026-15656MEDIUMIBM MAS uses axios-1.15.2, protobufjs-8.0.1 and undici-7.26 which is vulnerable to multiple CVEs, and contains vulnerabilities related to missing Secure attribute on mas-redirect-uri cookie and weak HMAC Session SecretEPSS 0.1%CVE-2024-30142LOWHCL BigFix Compliance is affected by a missing secure flag on a cookieEPSS 0.1%CVE-2026-32745MEDIUMIn JetBrains Datalore before 2026.1 session hijacking was possible due to missing secure attribute for cookie settingsEPSS 0.1%CVE-2025-52608LOWHCL iControl was affected by Missing Cookie Attributes vulnerability.EPSS 0.1%