Falhas do tipo CWE-1018
2 resultadosGestão inadequada de sessões de usuário
Fraqueza na implementação de mecanismos de controle de sessão, permitindo que atacantes sequestrem, fixem ou reutilizem sessões legítimas. Ocorre quando a aplicação não valida, regenera ou expira tokens/cookies corretamente, deixando a autenticação vulnerável.
Exemplo
Uma aplicação web não regenera o ID de sessão após login, permitindo que um atacante na mesma rede force um usuário a usar um session ID pré-conhecido. Ou um token JWT sem expiração que, uma vez vazado, permanece válido indefinidamente.
Como mitigar
Regenere IDs de sessão após autenticação, implemente expiração com timeout apropriado, valide tokens em cada requisição, use HTTPOnly e Secure flags em cookies, e registre/monitore atividades anômalas de sessão (múltiplos IPs, mudanças de User-Agent).