Falhas do tipo CWE-1463
1 resultadoTempo limite de sessão insuficiente
A aplicação mantém sessões autenticadas válidas por tempo excessivo, seja por inatividade prolongada ou por ausência de expiração absoluta. Assim, um token ou cookie de sessão continua aceito muito depois de o usuário ter deixado de usá-lo. Isso amplia a janela em que uma sessão roubada ou esquecida em um dispositivo compartilhado pode ser reutilizada.
Um usuário acessa o sistema em um computador de uso público e não faz logout; o cookie de sessão continua válido por dias, e quem usar esse navegador depois entra na conta sem nova autenticação.
Defina timeouts de inatividade curtos e um tempo máximo absoluto para a sessão, de acordo com o risco da aplicação, invalide os tokens no servidor no logout e exija reautenticação para operações sensíveis.